Linux Wiki - User contributions [en]

HAProxy

2026-11-01T01:11:54Z

Wikiadmin: /* Pagina de statistici HAProxy */

== HAProxy - Load Balancing Standard (Grup Unic Backend) ==
[[File:HAProxy.png|782x616px|none|HAProxy]]
=== Instalare HAProxy ===
La instalare HAProxy activează serviciul systemd.
<code class="mw-code mw-highlight plainlinks" style="display:block"> # apt -y install haproxy
</code>

=== Structura fișierului de configurare ===

Fișierul principal:
<code class="mw-code mw-highlight plainlinks" style="display:block"> # nano /etc/haproxy/haproxy.cfg
</code>

Configurația este împărțită în:
* global – setări pentru procesul HAProxy
* defaults – setări implicite pentru toate secțiunile
* frontend – puncte de intrare pentru trafic
* backend – serverele către care se trimite traficul

==== Secțiunea global ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> global
 log /dev/log local0
 log /dev/log local1 notice
 maxconn 4096
 user haproxy
 group haproxy
 daemon
</code>

* log /dev/log local0 – trimite logurile către syslog.
* log /dev/log local1 notice – al doilea canal de log, nivel minim notice.
* maxconn 4096 – număr maxim de conexiuni simultane.
* user/group haproxy – rulează cu userul de sistem haproxy.
* daemon – rulează în background.

==== Secțiunea defaults ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> defaults
 log global
 mode http
 option httplog
 option dontlognull
 timeout connect 5s
 timeout client 30s
 timeout server 30s
</code>
* log global – folosește setările din secțiunea global.
* mode http – modul implicit pentru frontend/backend.*
* option httplog – loguri detaliate HTTP.
* option dontlognull – nu loghează conexiuni goale.
* timeout connect/client/server – limite de timp pentru conexiuni.
 * Dacă un frontend sau backend are propriul mode (ex: mode tcp), acesta suprascrie automat valoarea din defaults

==== Frontend HTTP (port 80) ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> frontend http_in
 bind *:80
 mode http
 option forwardfor
 default_backend http_webserver
</code>

* bind *:80 – ascultă pe portul 80.
* mode http – procesează header-ele HTTP.
* option forwardfor – adaugă X‑Forwarded‑For cu IP-ul real al clientului.
* default_backend http_webserver – trimite traficul către backend-ul HTTP.

==== Backend HTTP ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> backend http_webserver
 mode http
 balance leastconn
 option httpchk GET /
 server vm01 192.168.14.11:80 check
 server vm02 192.168.14.22:80 check
 server vm03 192.168.14.33:80 check
</code>

* mode http – backend-ul procesează HTTP.
* balance leastconn – trimite traficul către serverul cu cele mai puține conexiuni active.
* option httpchk GET / – health-check HTTP.
* server vm01/vm02/vm03 – cele trei VM.

=== HTTPS (port 443) cu SSL Termination în HAProxy ===

În această situaţie HAProxy gestionează certificatul.

==== Generare certificat Let’s Encrypt ====

Necesită port 80 public și domeniu valid. 
Certbot, în modul --standalone, pornește un mini‑webserver intern pe portul 80 pentru a răspunde la challenge-ul HTTP‑01 de la Let’s Encrypt. 
Dacă HAProxy este pornit, acesta ocupă portul 80 și Certbot nu poate porni serverul de validare, ceea ce duce la eșecul generării certificatului.

'''Instalare certbot'''

<code class="mw-code mw-highlight plainlinks" style="display:block"> apt -y install certbot
</code>

'''Oprire temporară HAProxy'''

<code class="mw-code mw-highlight plainlinks" style="display:block"> systemctl stop haproxy
</code>

'''Generare certificat'''

<code class="mw-code mw-highlight plainlinks" style="display:block"> certbot certonly --standalone -d wiki.stradivart.ro
</code>

'''Creare fișier PEM pentru HAProxy'''

<code class="mw-code mw-highlight plainlinks" style="display:block"> # mkdir -p /etc/haproxy/certs
 # cat /etc/letsencrypt/live/wiki.stradivart.ro/fullchain.pem \
 /etc/letsencrypt/live/wiki.stradivart.ro/privkey.pem \
 > /etc/haproxy/certs/wiki.stradivart.ro.pem
 # chmod 600 /etc/haproxy/certs/wiki.stradivart.ro.pem
</code>

==== Frontend HTTPS (SSL termination) ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> frontend https_in
 bind *:443 ssl crt /etc/haproxy/certs/wiki.stradivart.ro.pem
 mode http
 option forwardfor
 default_backend http_webserver
</code>
* *bind :443 ssl crt ... – HAProxy decriptează SSL.
* mode http – traficul devine HTTP după terminarea SSL.
* default_backend http_webserver – backend-ul HTTP unic.

==== Backend HTTPS (SSL termination) ====

În cazul SSL termination, backend-ul nu procesează trafic HTTPS. 
HAProxy decriptează SSL în frontend, iar backend-ul primește trafic HTTP normal (non‑SSL). 
De aceea backend-ul este identic cu backend-ul HTTP.

<code class="mw-code mw-highlight plainlinks" style="display:block"> backend http_webserver
 mode http
 balance leastconn
 option httpchk GET /
 server vm01 192.168.14.11:80 check
 server vm02 192.168.14.22:80 check
 server vm03 192.168.14.33:80 check
</code>

* mode http – backend-ul procesează HTTP.
* balance leastconn – trimite traficul către serverul cu cele mai puține conexiuni active.
* option httpchk GET / – health-check HTTP.
* server vm01/vm02/vm03 – cele trei VM.

=== HTTPS (port 443) cu SSL Passthrough ===

Webserver-ul gestionează certificatul. HAProxy doar forward-ează pachetele SSL.

==== Frontend HTTPS (SSL passthrough) ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> frontend https_in
 bind *:443
 mode tcp
 default_backend httpS_webserver
</code>

* *bind :443 – ascultă pe portul 443.
* mode tcp – HAProxy nu decriptează SSL.
* default_backend httpS_webserver – backend separat în modul TCP.

==== Backend HTTPS (SSL passthrough) ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> backend httpS_webserver
 mode tcp
 balance leastconn
 server vm01 192.168.14.11:443 check
 server vm02 192.168.14.22:443 check
 server vm03 192.168.14.33:443 check
</code>

* mode tcp – forward transparent al pachetelor SSL.
* balance leastconn – distribuție inteligentă.
* server vm01/vm02/vm03 – VM-urile ISPConfig.

=== Frontend HTTP (port 80) - ACME Challenge ===

Această secțiune descrie configurarea HAProxy pentru a permite generarea certificatelor Let’s Encrypt în ISPConfig atunci când HAProxy funcționează în modul SSL Passthrough.
Pentru validarea HTTP‑01, traficul către /.well-known/acme-challenge/ trebuie direcționat către backend-ul HTTP al ISPConfig.

==== Frontend HTTP (ACME Challenge Forwarding) ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> frontend http_in
 bind *:80
 mode http
 acl letsencrypt-acl path_beg /.well-known/acme-challenge/
 use_backend letsencrypt-backend if letsencrypt-acl
 default_backend ispconfig_http
</code>

* acl letsencrypt-acl path_beg - detectăm cererile ACME challenge
* use_backend - Forward ACME challenge către backend-ul dedicat
* default_backend - Restul traficului HTTP merge către backend-ul HTTP normal

==== Backend HTTP (ACME Challenge Forwarding) ====

Backend dedicat pentru Let’s Encrypt.
Acesta trebuie să trimită cererile către portul 80 al serverrelor ISPConfig.

<code class="mw-code mw-highlight plainlinks" style="display:block"> backend letsencrypt-backend
 mode http
 server isp1 192.168.14.11:80 check
 server isp2 192.168.14.22:80 check
 server isp3 192.168.14.33:80 check
</code>

==== Backend HTTP (trafic normal) ====

Backend-ul standard pentru HTTP (port 80), folosit pentru redirectări, panel ISPConfig, sau site-uri HTTP.

<code class="mw-code mw-highlight plainlinks" style="display:block"> backend ispconfig_http
 mode http
 balance roundrobin
 option httpchk GET /
 server isp1 192.168.14.11:80 check
 server isp2 192.168.14.22:80 check
 server isp3 192.168.14.33:80 check
</code>

== HAProxy cu SSL Passthrough și Mapări Dinamice Layer 7 ==
[[File:haproxyLayer7.png|782x616px|none|HAProxy Layer7]]

Acest scenariu avansat descrie configurarea HAProxy ca un "Router Layer 7 (Content-Based Switch)". Această arhitectură permite consolidarea mai multor domenii și subdomenii complet diferite pe un singur IP public extern, rutând traficul dinamic către mașini virtuale (backend-uri) separate, fără ca HAProxy să decripteze traficul SSL/TLS (SSL Passthrough).

=== Configurare Frontend-uri și Backend-uri Modulare ===

Fișierele sunt stocate modular în directorul inclus secundar (`conf.d/`).

==== Configurare Frontend ====

Fișierele sunt stocate modular în directorul inclus secundar (`conf.d/`).

<code class="mw-code mw-highlight plainlinks" style="display:block"> # nano /etc/haproxy/conf.d/websites.cfg
 
 # FRONTEND HTTP - Port 80 (Cu suport ACME Challenge integrat dinamic)
 
 frontend fe_http
 bind *:80
 mode http
 
 # Extrage stringul curat al domeniului (taie portul :80 trimis de unele browsere)
 http-request set-var(txn.backend) req.hdr(host),field(1,:),lower,map(/etc/haproxy/maps/web-http.map)
 
 # Detecție trafic ACME Challenge (Let's Encrypt / ISPConfig)
 acl is_acme path_beg /.well-known/acme-challenge/
 
 # Securitate: Blocare 403 dacă domeniul nu există în map ȘI nu este o cerere ACME
 http-request deny deny_status 403 if ! { var(txn.backend) -m found } !is_acme
 
 # Rutare: Trimite către backend-ul identificat în map
 use_backend %[var(txn.backend)] if { var(txn.backend) -m found }
 
 # Fallback obligatoriu pentru procesarea automată a certificatelor ACME generate în ISPConfig
 default_backend be_vm1_http
 
 # FRONTEND HTTPS - Port 443 (SSL Passthrough transparent pe bază de SNI)
 
 frontend fe_https
 bind *:443
 mode tcp
 
 # Inspectează pachetele inițiale TCP pentru a citi header-ul TLS nesecurizat
 tcp-request inspect-delay 5s
 tcp-request content accept if { req.ssl_hello_type 1 }
 
 # Rutare Layer 4 bazată pe SNI-ul extras din handshake-ul TLS potrivit în map-ul HTTPS
 use_backend %[req.ssl_sni,lower,map(/etc/haproxy/maps/web-https.map)]
 
 # Dacă domeniul accesat prin TLS nu există în map, conexiunea este respinsă direct
 default_backend be_https_deny
 
</code>

==== Configurare Backend ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> # nano /etc/haproxy/conf.d/websites.cfg
 
 # DEFINIRE BACKEND-URI SERVERE VIRTUALE
 
 # BACKEND-URI VM1 (192.168.14.11)
 backend be_vm1_http
 mode http
 server vm1_web 192.168.14.11:80 check
 
 backend be_vm1_https
 mode tcp
 server vm1_ssl 192.168.14.11:443 check
 
 # BACKEND-URI VM2 (192.168.14.22)
 backend be_vm2_http
 mode http
 server vm2_web 192.168.14.22:80 check
 
 backend be_vm2_https
 mode tcp
 server vm2_ssl 192.168.14.22:443 check
 
 # BACKEND-URI VM3 (192.168.14.33)
 backend be_vm3_http
 mode http
 server vm3_web 192.168.14.33:80 check
 
 backend be_vm3_https
 mode tcp
 server vm3_ssl 192.168.14.33:443 check
 
 # BACKEND SIGURANȚĂ (DENY)
 backend be_https_deny
 mode tcp
</code>

=== Structură Fișiere Mapare Dinamică ===

Pentru a evita modificarea continuă a fișierului principal de configurare la adăugarea de noi domenii, folosim fișiere de mapare de tip cheie-valoare (*.map).

==== Fișier Mapare HTTP (Port 80) ====
<code class="mw-code mw-highlight plainlinks" style="display:block"> # nano /etc/haproxy/maps/web-http.map
 # VM1 - 192.168.1.11
 domeniu.eu be_vm1_http
 sub.domeniu.eu be_vm1_http
 # VM2 - 192.168.1.22
 domeniu.com be_vm2_http
 sub.domeniu.com be_vm2_http
 # VM3 - 192.168.1.33
 domeniu.ro be_vm3_http
 sub.domeniu.ro be_vm3_http
</code>

==== Fișier Mapare HTTPS (Port 443) ====
<code class="mw-code mw-highlight plainlinks" style="display:block"> # nano /etc/haproxy/maps/web-https.map
 # VM1 - 192.168.1.11
 domeniu.eu be_vm1_https
 sub.domeniu.eu be_vm1_https
 # VM2 - 192.168.1.22
 domeniu.com be_vm2_https
 sub.domeniu.com be_vm2_https
 # VM3 - 192.168.1.33
 domeniu.ro be_vm3_https
 sub.domeniu.ro be_vm3_https
</code>

=== Integrare Modulară în Systemd (conf.d) ===

Pentru ca HAProxy să încarce automat toate fișierele de configurare din directorul secundar <tt>conf.d/</tt>, trebuie modificat scriptul de pornire al serviciului în Systemd.

==== Modificarea fișierului de serviciu ====

Caută linia implicită de pornire și comenteaz-o
Adaugă direct sub ea noua instrucțiune care include ambele căi de configurare ("haproxy.cfg" și directorul "conf.d/").

<code class="mw-code mw-highlight plainlinks" style="display:block"> # nano /usr/lib/systemd/system/haproxy.service
 
 # ExecStart=/usr/sbin/haproxy -Ws -f $CONFIG -p $PIDFILE $EXTRAOPTS
 ExecStart=/usr/sbin/haproxy -Ws -f /etc/haproxy/haproxy.cfg -f /etc/haproxy/conf.d/ -p /run/haproxy.pid
</code>

==== Reîncărcarea și Aplicarea Modificărilor ====
<code class="mw-code mw-highlight plainlinks" style="display:block"> # systemctl daemon-reload
 # systemctl restart haproxy
</code>

==== Managementul Configurării ====

Unul dintre marile avantaje ale acestei arhitecturi este capacitatea de a aplica modificări fără a întrerupe sesiunile HTTP/HTTPS active ale utilizatorilor (Zero-Downtime).

<code class="mw-code mw-highlight plainlinks" style="display:block"> # haproxy -c -f /etc/haproxy/haproxy.cfg -f /etc/haproxy/conf.d/ # Validarea sintaxei
 # systemctl reload haproxy # Reîncărcarea serviciului cu noua configurare
</code>

== HAProxy pentru Baze de Date (MySQL / MariaDB) ==

Această secțiune descrie configurarea HAProxy în Modul TCP (Layer 4) pentru baze de date. Deoarece MySQL/MariaDB folosește un protocol binar propriu, HAProxy nu va inspecta conținutul pachetelor, ci doar va ruta conexiunile la nivel de port.

=== Prerechizite: Utilizatorul de Health Check ===

Pentru ca HAProxy să poată verifica dacă serverele MySQL sunt "vii" (fără a deschide doar portul TCP orbește), trebuie creat un utilizator fără parole și fără privilegii pe serverul de baze de date.

<code class="mw-code mw-highlight plainlinks" style="display:block"> CREATE USER 'haproxy_check'@'192.168.14.11';
 FLUSH PRIVILEGES;
</code>
Se execută pe Master (dacă replicarea este pornită).

=== Replicare Master/Slave ===
[[File:HaproxySQL_MS.png|782x616px|none|HAProxy Master-Slave]]

Destinat infrastructurilor clasice Master/Slave. Aplicația folosește un singur punct de conexiune (db.domeniu.lan:3306). HAProxy trimite tot traficul către Master, în timp ce Slave-ul stă în așteptare (backup) și preia automat activitatea doar dacă Masterul intră în crash.

<code class="mw-code mw-highlight plainlinks" style="display:block">''' # nano /etc/haproxy/haproxy.cfg'''
 
 # FRONTEND DATABASE (Master/Slave)
 frontend fe_mysql_master_slave
 bind *:3306
 mode tcp
 default_backend be_mysql_master_slave
 
 # BACKEND DATABASE (Master/Slave)
 backend be_mysql_master_slave
 mode tcp
 balance leastconn
 option mysql-check user haproxy_check
 
 # Serverul Master - preia 100% din trafic în mod normal
 server dbm 192.168.14.11:3306 check on-marked-down shutdown-sessions
 
 # Serverul Slave - preia traficul DOAR dacă dbm devine offline
 server dbs 192.168.14.22:3306 check backup
</code>

* mode tcp - Obligatoriu pentru baze de date. Suprascrie modul HTTP implicit.
* balance leastconn - Direcționează conexiunile noi către nodul cu cele mai puține sesiuni active.
* option mysql-check user ... - Interoghează nativ serverul MySQL pentru a-i verifica starea.
* on-marked-down shutdown-sessions - Dacă Masterul pică testul de sănătate, HAProxy taie instant toate conexiunile active/persistente din pool, forțând aplicația să se mute imediat pe Slave-ul de backup.
* backup - Marchează serverul ca pasiv. Nu primește trafic atât timp cât nodul principal este online.

=== Replicare Multi-Master / Multi-Node ===
[[File:HaproxySQL_MM.png|782x616px|none|HAProxy Multi-Master]]

Destinat arhitecturilor sincrone de tip MariaDB Galera Cluster sau MySQL Group Replication. Deoarece toate cele 3 noduri pot accepta simultan operațiuni de scriere și citire (Read/Write), HAProxy va distribui conexiunile dinamic între toate mașinile virtuale.

<code class="mw-code mw-highlight plainlinks" style="display:block"> ''' # nano /etc/haproxy/haproxy.cfg'''
 
 # FRONTEND DATABASE (Multi-Master)
 frontend fe_mysql_multimaster
 bind *:3306
 mode tcp
 default_backend be_mysql_multimaster
 
 # BACKEND DATABASE (Multi-Master)
 backend be_mysql_multimaster
 mode tcp
 balance leastconn
 option mysql-check user haproxy_check
 
 # Traficul este împărțit dinamic pe toate cele 3 noduri active
 server db_node1 192.168.14.11:3306 check weight 1
 server db_node2 192.168.14.22:3306 check weight 1
 server db_node3 192.168.14.33:3306 check weight 1
</code>

* Fără directiva backup - Toate nodurile sunt tratate ca primare și rulează în paralel.
* balance leastconn - Esențial în Multi-Master. Deoarece interogările SQL au durate și eforturi complet diferite, algoritmul trimite conexiunile noi către cel mai liber server hardware în acea milisecundă, prevenind suprasaturarea unui singur nod.
* weight 1 - Toate serverele au ponderi egale. Dacă un nod din cluster este mai puternic din punct de vedere hardware, îi puteți crește valoarea (ex: weight 2) pentru a-i aloca proporțional mai multe conexiuni.

== Pagina de statistici HAProxy ==

<code class="mw-code mw-highlight plainlinks" style="display:block"> ''' # nano /etc/haproxy/haproxy.cfg'''
 
 listen stats
 bind *:9000
 mode http
 stats enable
 stats uri /stats
 stats refresh 5s
 stats auth admin:pass123
</code>

* *bind :9000 – port dedicat pentru statistici.
* stats uri /stats – URL-ul paginii.
* stats auth – autentificare basic HTTP.

==== Accesare pagina de statistici ====
http://192.168.14.123:9000/stats

[[File:HAProxy stats.png|782x616px|none|HAProxy_stats]]

HAProxy

2026-11-01T01:11:43Z

Wikiadmin: /* Pagina de statistici HAProxy */

== HAProxy - Load Balancing Standard (Grup Unic Backend) ==
[[File:HAProxy.png|782x616px|none|HAProxy]]
=== Instalare HAProxy ===
La instalare HAProxy activează serviciul systemd.
<code class="mw-code mw-highlight plainlinks" style="display:block"> # apt -y install haproxy
</code>

=== Structura fișierului de configurare ===

Fișierul principal:
<code class="mw-code mw-highlight plainlinks" style="display:block"> # nano /etc/haproxy/haproxy.cfg
</code>

Configurația este împărțită în:
* global – setări pentru procesul HAProxy
* defaults – setări implicite pentru toate secțiunile
* frontend – puncte de intrare pentru trafic
* backend – serverele către care se trimite traficul

==== Secțiunea global ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> global
 log /dev/log local0
 log /dev/log local1 notice
 maxconn 4096
 user haproxy
 group haproxy
 daemon
</code>

* log /dev/log local0 – trimite logurile către syslog.
* log /dev/log local1 notice – al doilea canal de log, nivel minim notice.
* maxconn 4096 – număr maxim de conexiuni simultane.
* user/group haproxy – rulează cu userul de sistem haproxy.
* daemon – rulează în background.

==== Secțiunea defaults ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> defaults
 log global
 mode http
 option httplog
 option dontlognull
 timeout connect 5s
 timeout client 30s
 timeout server 30s
</code>
* log global – folosește setările din secțiunea global.
* mode http – modul implicit pentru frontend/backend.*
* option httplog – loguri detaliate HTTP.
* option dontlognull – nu loghează conexiuni goale.
* timeout connect/client/server – limite de timp pentru conexiuni.
 * Dacă un frontend sau backend are propriul mode (ex: mode tcp), acesta suprascrie automat valoarea din defaults

==== Frontend HTTP (port 80) ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> frontend http_in
 bind *:80
 mode http
 option forwardfor
 default_backend http_webserver
</code>

* bind *:80 – ascultă pe portul 80.
* mode http – procesează header-ele HTTP.
* option forwardfor – adaugă X‑Forwarded‑For cu IP-ul real al clientului.
* default_backend http_webserver – trimite traficul către backend-ul HTTP.

==== Backend HTTP ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> backend http_webserver
 mode http
 balance leastconn
 option httpchk GET /
 server vm01 192.168.14.11:80 check
 server vm02 192.168.14.22:80 check
 server vm03 192.168.14.33:80 check
</code>

* mode http – backend-ul procesează HTTP.
* balance leastconn – trimite traficul către serverul cu cele mai puține conexiuni active.
* option httpchk GET / – health-check HTTP.
* server vm01/vm02/vm03 – cele trei VM.

=== HTTPS (port 443) cu SSL Termination în HAProxy ===

În această situaţie HAProxy gestionează certificatul.

==== Generare certificat Let’s Encrypt ====

Necesită port 80 public și domeniu valid. 
Certbot, în modul --standalone, pornește un mini‑webserver intern pe portul 80 pentru a răspunde la challenge-ul HTTP‑01 de la Let’s Encrypt. 
Dacă HAProxy este pornit, acesta ocupă portul 80 și Certbot nu poate porni serverul de validare, ceea ce duce la eșecul generării certificatului.

'''Instalare certbot'''

<code class="mw-code mw-highlight plainlinks" style="display:block"> apt -y install certbot
</code>

'''Oprire temporară HAProxy'''

<code class="mw-code mw-highlight plainlinks" style="display:block"> systemctl stop haproxy
</code>

'''Generare certificat'''

<code class="mw-code mw-highlight plainlinks" style="display:block"> certbot certonly --standalone -d wiki.stradivart.ro
</code>

'''Creare fișier PEM pentru HAProxy'''

<code class="mw-code mw-highlight plainlinks" style="display:block"> # mkdir -p /etc/haproxy/certs
 # cat /etc/letsencrypt/live/wiki.stradivart.ro/fullchain.pem \
 /etc/letsencrypt/live/wiki.stradivart.ro/privkey.pem \
 > /etc/haproxy/certs/wiki.stradivart.ro.pem
 # chmod 600 /etc/haproxy/certs/wiki.stradivart.ro.pem
</code>

==== Frontend HTTPS (SSL termination) ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> frontend https_in
 bind *:443 ssl crt /etc/haproxy/certs/wiki.stradivart.ro.pem
 mode http
 option forwardfor
 default_backend http_webserver
</code>
* *bind :443 ssl crt ... – HAProxy decriptează SSL.
* mode http – traficul devine HTTP după terminarea SSL.
* default_backend http_webserver – backend-ul HTTP unic.

==== Backend HTTPS (SSL termination) ====

În cazul SSL termination, backend-ul nu procesează trafic HTTPS. 
HAProxy decriptează SSL în frontend, iar backend-ul primește trafic HTTP normal (non‑SSL). 
De aceea backend-ul este identic cu backend-ul HTTP.

<code class="mw-code mw-highlight plainlinks" style="display:block"> backend http_webserver
 mode http
 balance leastconn
 option httpchk GET /
 server vm01 192.168.14.11:80 check
 server vm02 192.168.14.22:80 check
 server vm03 192.168.14.33:80 check
</code>

* mode http – backend-ul procesează HTTP.
* balance leastconn – trimite traficul către serverul cu cele mai puține conexiuni active.
* option httpchk GET / – health-check HTTP.
* server vm01/vm02/vm03 – cele trei VM.

=== HTTPS (port 443) cu SSL Passthrough ===

Webserver-ul gestionează certificatul. HAProxy doar forward-ează pachetele SSL.

==== Frontend HTTPS (SSL passthrough) ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> frontend https_in
 bind *:443
 mode tcp
 default_backend httpS_webserver
</code>

* *bind :443 – ascultă pe portul 443.
* mode tcp – HAProxy nu decriptează SSL.
* default_backend httpS_webserver – backend separat în modul TCP.

==== Backend HTTPS (SSL passthrough) ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> backend httpS_webserver
 mode tcp
 balance leastconn
 server vm01 192.168.14.11:443 check
 server vm02 192.168.14.22:443 check
 server vm03 192.168.14.33:443 check
</code>

* mode tcp – forward transparent al pachetelor SSL.
* balance leastconn – distribuție inteligentă.
* server vm01/vm02/vm03 – VM-urile ISPConfig.

=== Frontend HTTP (port 80) - ACME Challenge ===

Această secțiune descrie configurarea HAProxy pentru a permite generarea certificatelor Let’s Encrypt în ISPConfig atunci când HAProxy funcționează în modul SSL Passthrough.
Pentru validarea HTTP‑01, traficul către /.well-known/acme-challenge/ trebuie direcționat către backend-ul HTTP al ISPConfig.

==== Frontend HTTP (ACME Challenge Forwarding) ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> frontend http_in
 bind *:80
 mode http
 acl letsencrypt-acl path_beg /.well-known/acme-challenge/
 use_backend letsencrypt-backend if letsencrypt-acl
 default_backend ispconfig_http
</code>

* acl letsencrypt-acl path_beg - detectăm cererile ACME challenge
* use_backend - Forward ACME challenge către backend-ul dedicat
* default_backend - Restul traficului HTTP merge către backend-ul HTTP normal

==== Backend HTTP (ACME Challenge Forwarding) ====

Backend dedicat pentru Let’s Encrypt.
Acesta trebuie să trimită cererile către portul 80 al serverrelor ISPConfig.

<code class="mw-code mw-highlight plainlinks" style="display:block"> backend letsencrypt-backend
 mode http
 server isp1 192.168.14.11:80 check
 server isp2 192.168.14.22:80 check
 server isp3 192.168.14.33:80 check
</code>

==== Backend HTTP (trafic normal) ====

Backend-ul standard pentru HTTP (port 80), folosit pentru redirectări, panel ISPConfig, sau site-uri HTTP.

<code class="mw-code mw-highlight plainlinks" style="display:block"> backend ispconfig_http
 mode http
 balance roundrobin
 option httpchk GET /
 server isp1 192.168.14.11:80 check
 server isp2 192.168.14.22:80 check
 server isp3 192.168.14.33:80 check
</code>

== HAProxy cu SSL Passthrough și Mapări Dinamice Layer 7 ==
[[File:haproxyLayer7.png|782x616px|none|HAProxy Layer7]]

Acest scenariu avansat descrie configurarea HAProxy ca un "Router Layer 7 (Content-Based Switch)". Această arhitectură permite consolidarea mai multor domenii și subdomenii complet diferite pe un singur IP public extern, rutând traficul dinamic către mașini virtuale (backend-uri) separate, fără ca HAProxy să decripteze traficul SSL/TLS (SSL Passthrough).

=== Configurare Frontend-uri și Backend-uri Modulare ===

Fișierele sunt stocate modular în directorul inclus secundar (`conf.d/`).

==== Configurare Frontend ====

Fișierele sunt stocate modular în directorul inclus secundar (`conf.d/`).

<code class="mw-code mw-highlight plainlinks" style="display:block"> # nano /etc/haproxy/conf.d/websites.cfg
 
 # FRONTEND HTTP - Port 80 (Cu suport ACME Challenge integrat dinamic)
 
 frontend fe_http
 bind *:80
 mode http
 
 # Extrage stringul curat al domeniului (taie portul :80 trimis de unele browsere)
 http-request set-var(txn.backend) req.hdr(host),field(1,:),lower,map(/etc/haproxy/maps/web-http.map)
 
 # Detecție trafic ACME Challenge (Let's Encrypt / ISPConfig)
 acl is_acme path_beg /.well-known/acme-challenge/
 
 # Securitate: Blocare 403 dacă domeniul nu există în map ȘI nu este o cerere ACME
 http-request deny deny_status 403 if ! { var(txn.backend) -m found } !is_acme
 
 # Rutare: Trimite către backend-ul identificat în map
 use_backend %[var(txn.backend)] if { var(txn.backend) -m found }
 
 # Fallback obligatoriu pentru procesarea automată a certificatelor ACME generate în ISPConfig
 default_backend be_vm1_http
 
 # FRONTEND HTTPS - Port 443 (SSL Passthrough transparent pe bază de SNI)
 
 frontend fe_https
 bind *:443
 mode tcp
 
 # Inspectează pachetele inițiale TCP pentru a citi header-ul TLS nesecurizat
 tcp-request inspect-delay 5s
 tcp-request content accept if { req.ssl_hello_type 1 }
 
 # Rutare Layer 4 bazată pe SNI-ul extras din handshake-ul TLS potrivit în map-ul HTTPS
 use_backend %[req.ssl_sni,lower,map(/etc/haproxy/maps/web-https.map)]
 
 # Dacă domeniul accesat prin TLS nu există în map, conexiunea este respinsă direct
 default_backend be_https_deny
 
</code>

==== Configurare Backend ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> # nano /etc/haproxy/conf.d/websites.cfg
 
 # DEFINIRE BACKEND-URI SERVERE VIRTUALE
 
 # BACKEND-URI VM1 (192.168.14.11)
 backend be_vm1_http
 mode http
 server vm1_web 192.168.14.11:80 check
 
 backend be_vm1_https
 mode tcp
 server vm1_ssl 192.168.14.11:443 check
 
 # BACKEND-URI VM2 (192.168.14.22)
 backend be_vm2_http
 mode http
 server vm2_web 192.168.14.22:80 check
 
 backend be_vm2_https
 mode tcp
 server vm2_ssl 192.168.14.22:443 check
 
 # BACKEND-URI VM3 (192.168.14.33)
 backend be_vm3_http
 mode http
 server vm3_web 192.168.14.33:80 check
 
 backend be_vm3_https
 mode tcp
 server vm3_ssl 192.168.14.33:443 check
 
 # BACKEND SIGURANȚĂ (DENY)
 backend be_https_deny
 mode tcp
</code>

=== Structură Fișiere Mapare Dinamică ===

Pentru a evita modificarea continuă a fișierului principal de configurare la adăugarea de noi domenii, folosim fișiere de mapare de tip cheie-valoare (*.map).

==== Fișier Mapare HTTP (Port 80) ====
<code class="mw-code mw-highlight plainlinks" style="display:block"> # nano /etc/haproxy/maps/web-http.map
 # VM1 - 192.168.1.11
 domeniu.eu be_vm1_http
 sub.domeniu.eu be_vm1_http
 # VM2 - 192.168.1.22
 domeniu.com be_vm2_http
 sub.domeniu.com be_vm2_http
 # VM3 - 192.168.1.33
 domeniu.ro be_vm3_http
 sub.domeniu.ro be_vm3_http
</code>

==== Fișier Mapare HTTPS (Port 443) ====
<code class="mw-code mw-highlight plainlinks" style="display:block"> # nano /etc/haproxy/maps/web-https.map
 # VM1 - 192.168.1.11
 domeniu.eu be_vm1_https
 sub.domeniu.eu be_vm1_https
 # VM2 - 192.168.1.22
 domeniu.com be_vm2_https
 sub.domeniu.com be_vm2_https
 # VM3 - 192.168.1.33
 domeniu.ro be_vm3_https
 sub.domeniu.ro be_vm3_https
</code>

=== Integrare Modulară în Systemd (conf.d) ===

Pentru ca HAProxy să încarce automat toate fișierele de configurare din directorul secundar <tt>conf.d/</tt>, trebuie modificat scriptul de pornire al serviciului în Systemd.

==== Modificarea fișierului de serviciu ====

Caută linia implicită de pornire și comenteaz-o
Adaugă direct sub ea noua instrucțiune care include ambele căi de configurare ("haproxy.cfg" și directorul "conf.d/").

<code class="mw-code mw-highlight plainlinks" style="display:block"> # nano /usr/lib/systemd/system/haproxy.service
 
 # ExecStart=/usr/sbin/haproxy -Ws -f $CONFIG -p $PIDFILE $EXTRAOPTS
 ExecStart=/usr/sbin/haproxy -Ws -f /etc/haproxy/haproxy.cfg -f /etc/haproxy/conf.d/ -p /run/haproxy.pid
</code>

==== Reîncărcarea și Aplicarea Modificărilor ====
<code class="mw-code mw-highlight plainlinks" style="display:block"> # systemctl daemon-reload
 # systemctl restart haproxy
</code>

==== Managementul Configurării ====

Unul dintre marile avantaje ale acestei arhitecturi este capacitatea de a aplica modificări fără a întrerupe sesiunile HTTP/HTTPS active ale utilizatorilor (Zero-Downtime).

<code class="mw-code mw-highlight plainlinks" style="display:block"> # haproxy -c -f /etc/haproxy/haproxy.cfg -f /etc/haproxy/conf.d/ # Validarea sintaxei
 # systemctl reload haproxy # Reîncărcarea serviciului cu noua configurare
</code>

== HAProxy pentru Baze de Date (MySQL / MariaDB) ==

Această secțiune descrie configurarea HAProxy în Modul TCP (Layer 4) pentru baze de date. Deoarece MySQL/MariaDB folosește un protocol binar propriu, HAProxy nu va inspecta conținutul pachetelor, ci doar va ruta conexiunile la nivel de port.

=== Prerechizite: Utilizatorul de Health Check ===

Pentru ca HAProxy să poată verifica dacă serverele MySQL sunt "vii" (fără a deschide doar portul TCP orbește), trebuie creat un utilizator fără parole și fără privilegii pe serverul de baze de date.

<code class="mw-code mw-highlight plainlinks" style="display:block"> CREATE USER 'haproxy_check'@'192.168.14.11';
 FLUSH PRIVILEGES;
</code>
Se execută pe Master (dacă replicarea este pornită).

=== Replicare Master/Slave ===
[[File:HaproxySQL_MS.png|782x616px|none|HAProxy Master-Slave]]

Destinat infrastructurilor clasice Master/Slave. Aplicația folosește un singur punct de conexiune (db.domeniu.lan:3306). HAProxy trimite tot traficul către Master, în timp ce Slave-ul stă în așteptare (backup) și preia automat activitatea doar dacă Masterul intră în crash.

<code class="mw-code mw-highlight plainlinks" style="display:block">''' # nano /etc/haproxy/haproxy.cfg'''
 
 # FRONTEND DATABASE (Master/Slave)
 frontend fe_mysql_master_slave
 bind *:3306
 mode tcp
 default_backend be_mysql_master_slave
 
 # BACKEND DATABASE (Master/Slave)
 backend be_mysql_master_slave
 mode tcp
 balance leastconn
 option mysql-check user haproxy_check
 
 # Serverul Master - preia 100% din trafic în mod normal
 server dbm 192.168.14.11:3306 check on-marked-down shutdown-sessions
 
 # Serverul Slave - preia traficul DOAR dacă dbm devine offline
 server dbs 192.168.14.22:3306 check backup
</code>

* mode tcp - Obligatoriu pentru baze de date. Suprascrie modul HTTP implicit.
* balance leastconn - Direcționează conexiunile noi către nodul cu cele mai puține sesiuni active.
* option mysql-check user ... - Interoghează nativ serverul MySQL pentru a-i verifica starea.
* on-marked-down shutdown-sessions - Dacă Masterul pică testul de sănătate, HAProxy taie instant toate conexiunile active/persistente din pool, forțând aplicația să se mute imediat pe Slave-ul de backup.
* backup - Marchează serverul ca pasiv. Nu primește trafic atât timp cât nodul principal este online.

=== Replicare Multi-Master / Multi-Node ===
[[File:HaproxySQL_MM.png|782x616px|none|HAProxy Multi-Master]]

Destinat arhitecturilor sincrone de tip MariaDB Galera Cluster sau MySQL Group Replication. Deoarece toate cele 3 noduri pot accepta simultan operațiuni de scriere și citire (Read/Write), HAProxy va distribui conexiunile dinamic între toate mașinile virtuale.

<code class="mw-code mw-highlight plainlinks" style="display:block"> ''' # nano /etc/haproxy/haproxy.cfg'''
 
 # FRONTEND DATABASE (Multi-Master)
 frontend fe_mysql_multimaster
 bind *:3306
 mode tcp
 default_backend be_mysql_multimaster
 
 # BACKEND DATABASE (Multi-Master)
 backend be_mysql_multimaster
 mode tcp
 balance leastconn
 option mysql-check user haproxy_check
 
 # Traficul este împărțit dinamic pe toate cele 3 noduri active
 server db_node1 192.168.14.11:3306 check weight 1
 server db_node2 192.168.14.22:3306 check weight 1
 server db_node3 192.168.14.33:3306 check weight 1
</code>

* Fără directiva backup - Toate nodurile sunt tratate ca primare și rulează în paralel.
* balance leastconn - Esențial în Multi-Master. Deoarece interogările SQL au durate și eforturi complet diferite, algoritmul trimite conexiunile noi către cel mai liber server hardware în acea milisecundă, prevenind suprasaturarea unui singur nod.
* weight 1 - Toate serverele au ponderi egale. Dacă un nod din cluster este mai puternic din punct de vedere hardware, îi puteți crește valoarea (ex: weight 2) pentru a-i aloca proporțional mai multe conexiuni.

== Pagina de statistici HAProxy ==

<code class="mw-code mw-highlight plainlinks" style="display:block"> ''' # nano /etc/haproxy/haproxy.cfg'''
 listen stats
 bind *:9000
 mode http
 stats enable
 stats uri /stats
 stats refresh 5s
 stats auth admin:pass123
</code>

* *bind :9000 – port dedicat pentru statistici.
* stats uri /stats – URL-ul paginii.
* stats auth – autentificare basic HTTP.

==== Accesare pagina de statistici ====
http://192.168.14.123:9000/stats

[[File:HAProxy stats.png|782x616px|none|HAProxy_stats]]

HAProxy

2026-11-01T01:10:52Z

Wikiadmin: /* Replicare Multi-Master / Multi-Node */

== HAProxy - Load Balancing Standard (Grup Unic Backend) ==
[[File:HAProxy.png|782x616px|none|HAProxy]]
=== Instalare HAProxy ===
La instalare HAProxy activează serviciul systemd.
<code class="mw-code mw-highlight plainlinks" style="display:block"> # apt -y install haproxy
</code>

=== Structura fișierului de configurare ===

Fișierul principal:
<code class="mw-code mw-highlight plainlinks" style="display:block"> # nano /etc/haproxy/haproxy.cfg
</code>

Configurația este împărțită în:
* global – setări pentru procesul HAProxy
* defaults – setări implicite pentru toate secțiunile
* frontend – puncte de intrare pentru trafic
* backend – serverele către care se trimite traficul

==== Secțiunea global ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> global
 log /dev/log local0
 log /dev/log local1 notice
 maxconn 4096
 user haproxy
 group haproxy
 daemon
</code>

* log /dev/log local0 – trimite logurile către syslog.
* log /dev/log local1 notice – al doilea canal de log, nivel minim notice.
* maxconn 4096 – număr maxim de conexiuni simultane.
* user/group haproxy – rulează cu userul de sistem haproxy.
* daemon – rulează în background.

==== Secțiunea defaults ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> defaults
 log global
 mode http
 option httplog
 option dontlognull
 timeout connect 5s
 timeout client 30s
 timeout server 30s
</code>
* log global – folosește setările din secțiunea global.
* mode http – modul implicit pentru frontend/backend.*
* option httplog – loguri detaliate HTTP.
* option dontlognull – nu loghează conexiuni goale.
* timeout connect/client/server – limite de timp pentru conexiuni.
 * Dacă un frontend sau backend are propriul mode (ex: mode tcp), acesta suprascrie automat valoarea din defaults

==== Frontend HTTP (port 80) ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> frontend http_in
 bind *:80
 mode http
 option forwardfor
 default_backend http_webserver
</code>

* bind *:80 – ascultă pe portul 80.
* mode http – procesează header-ele HTTP.
* option forwardfor – adaugă X‑Forwarded‑For cu IP-ul real al clientului.
* default_backend http_webserver – trimite traficul către backend-ul HTTP.

==== Backend HTTP ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> backend http_webserver
 mode http
 balance leastconn
 option httpchk GET /
 server vm01 192.168.14.11:80 check
 server vm02 192.168.14.22:80 check
 server vm03 192.168.14.33:80 check
</code>

* mode http – backend-ul procesează HTTP.
* balance leastconn – trimite traficul către serverul cu cele mai puține conexiuni active.
* option httpchk GET / – health-check HTTP.
* server vm01/vm02/vm03 – cele trei VM.

=== HTTPS (port 443) cu SSL Termination în HAProxy ===

În această situaţie HAProxy gestionează certificatul.

==== Generare certificat Let’s Encrypt ====

Necesită port 80 public și domeniu valid. 
Certbot, în modul --standalone, pornește un mini‑webserver intern pe portul 80 pentru a răspunde la challenge-ul HTTP‑01 de la Let’s Encrypt. 
Dacă HAProxy este pornit, acesta ocupă portul 80 și Certbot nu poate porni serverul de validare, ceea ce duce la eșecul generării certificatului.

'''Instalare certbot'''

<code class="mw-code mw-highlight plainlinks" style="display:block"> apt -y install certbot
</code>

'''Oprire temporară HAProxy'''

<code class="mw-code mw-highlight plainlinks" style="display:block"> systemctl stop haproxy
</code>

'''Generare certificat'''

<code class="mw-code mw-highlight plainlinks" style="display:block"> certbot certonly --standalone -d wiki.stradivart.ro
</code>

'''Creare fișier PEM pentru HAProxy'''

<code class="mw-code mw-highlight plainlinks" style="display:block"> # mkdir -p /etc/haproxy/certs
 # cat /etc/letsencrypt/live/wiki.stradivart.ro/fullchain.pem \
 /etc/letsencrypt/live/wiki.stradivart.ro/privkey.pem \
 > /etc/haproxy/certs/wiki.stradivart.ro.pem
 # chmod 600 /etc/haproxy/certs/wiki.stradivart.ro.pem
</code>

==== Frontend HTTPS (SSL termination) ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> frontend https_in
 bind *:443 ssl crt /etc/haproxy/certs/wiki.stradivart.ro.pem
 mode http
 option forwardfor
 default_backend http_webserver
</code>
* *bind :443 ssl crt ... – HAProxy decriptează SSL.
* mode http – traficul devine HTTP după terminarea SSL.
* default_backend http_webserver – backend-ul HTTP unic.

==== Backend HTTPS (SSL termination) ====

În cazul SSL termination, backend-ul nu procesează trafic HTTPS. 
HAProxy decriptează SSL în frontend, iar backend-ul primește trafic HTTP normal (non‑SSL). 
De aceea backend-ul este identic cu backend-ul HTTP.

<code class="mw-code mw-highlight plainlinks" style="display:block"> backend http_webserver
 mode http
 balance leastconn
 option httpchk GET /
 server vm01 192.168.14.11:80 check
 server vm02 192.168.14.22:80 check
 server vm03 192.168.14.33:80 check
</code>

* mode http – backend-ul procesează HTTP.
* balance leastconn – trimite traficul către serverul cu cele mai puține conexiuni active.
* option httpchk GET / – health-check HTTP.
* server vm01/vm02/vm03 – cele trei VM.

=== HTTPS (port 443) cu SSL Passthrough ===

Webserver-ul gestionează certificatul. HAProxy doar forward-ează pachetele SSL.

==== Frontend HTTPS (SSL passthrough) ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> frontend https_in
 bind *:443
 mode tcp
 default_backend httpS_webserver
</code>

* *bind :443 – ascultă pe portul 443.
* mode tcp – HAProxy nu decriptează SSL.
* default_backend httpS_webserver – backend separat în modul TCP.

==== Backend HTTPS (SSL passthrough) ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> backend httpS_webserver
 mode tcp
 balance leastconn
 server vm01 192.168.14.11:443 check
 server vm02 192.168.14.22:443 check
 server vm03 192.168.14.33:443 check
</code>

* mode tcp – forward transparent al pachetelor SSL.
* balance leastconn – distribuție inteligentă.
* server vm01/vm02/vm03 – VM-urile ISPConfig.

=== Frontend HTTP (port 80) - ACME Challenge ===

Această secțiune descrie configurarea HAProxy pentru a permite generarea certificatelor Let’s Encrypt în ISPConfig atunci când HAProxy funcționează în modul SSL Passthrough.
Pentru validarea HTTP‑01, traficul către /.well-known/acme-challenge/ trebuie direcționat către backend-ul HTTP al ISPConfig.

==== Frontend HTTP (ACME Challenge Forwarding) ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> frontend http_in
 bind *:80
 mode http
 acl letsencrypt-acl path_beg /.well-known/acme-challenge/
 use_backend letsencrypt-backend if letsencrypt-acl
 default_backend ispconfig_http
</code>

* acl letsencrypt-acl path_beg - detectăm cererile ACME challenge
* use_backend - Forward ACME challenge către backend-ul dedicat
* default_backend - Restul traficului HTTP merge către backend-ul HTTP normal

==== Backend HTTP (ACME Challenge Forwarding) ====

Backend dedicat pentru Let’s Encrypt.
Acesta trebuie să trimită cererile către portul 80 al serverrelor ISPConfig.

<code class="mw-code mw-highlight plainlinks" style="display:block"> backend letsencrypt-backend
 mode http
 server isp1 192.168.14.11:80 check
 server isp2 192.168.14.22:80 check
 server isp3 192.168.14.33:80 check
</code>

==== Backend HTTP (trafic normal) ====

Backend-ul standard pentru HTTP (port 80), folosit pentru redirectări, panel ISPConfig, sau site-uri HTTP.

<code class="mw-code mw-highlight plainlinks" style="display:block"> backend ispconfig_http
 mode http
 balance roundrobin
 option httpchk GET /
 server isp1 192.168.14.11:80 check
 server isp2 192.168.14.22:80 check
 server isp3 192.168.14.33:80 check
</code>

== HAProxy cu SSL Passthrough și Mapări Dinamice Layer 7 ==
[[File:haproxyLayer7.png|782x616px|none|HAProxy Layer7]]

Acest scenariu avansat descrie configurarea HAProxy ca un "Router Layer 7 (Content-Based Switch)". Această arhitectură permite consolidarea mai multor domenii și subdomenii complet diferite pe un singur IP public extern, rutând traficul dinamic către mașini virtuale (backend-uri) separate, fără ca HAProxy să decripteze traficul SSL/TLS (SSL Passthrough).

=== Configurare Frontend-uri și Backend-uri Modulare ===

Fișierele sunt stocate modular în directorul inclus secundar (`conf.d/`).

==== Configurare Frontend ====

Fișierele sunt stocate modular în directorul inclus secundar (`conf.d/`).

<code class="mw-code mw-highlight plainlinks" style="display:block"> # nano /etc/haproxy/conf.d/websites.cfg
 
 # FRONTEND HTTP - Port 80 (Cu suport ACME Challenge integrat dinamic)
 
 frontend fe_http
 bind *:80
 mode http
 
 # Extrage stringul curat al domeniului (taie portul :80 trimis de unele browsere)
 http-request set-var(txn.backend) req.hdr(host),field(1,:),lower,map(/etc/haproxy/maps/web-http.map)
 
 # Detecție trafic ACME Challenge (Let's Encrypt / ISPConfig)
 acl is_acme path_beg /.well-known/acme-challenge/
 
 # Securitate: Blocare 403 dacă domeniul nu există în map ȘI nu este o cerere ACME
 http-request deny deny_status 403 if ! { var(txn.backend) -m found } !is_acme
 
 # Rutare: Trimite către backend-ul identificat în map
 use_backend %[var(txn.backend)] if { var(txn.backend) -m found }
 
 # Fallback obligatoriu pentru procesarea automată a certificatelor ACME generate în ISPConfig
 default_backend be_vm1_http
 
 # FRONTEND HTTPS - Port 443 (SSL Passthrough transparent pe bază de SNI)
 
 frontend fe_https
 bind *:443
 mode tcp
 
 # Inspectează pachetele inițiale TCP pentru a citi header-ul TLS nesecurizat
 tcp-request inspect-delay 5s
 tcp-request content accept if { req.ssl_hello_type 1 }
 
 # Rutare Layer 4 bazată pe SNI-ul extras din handshake-ul TLS potrivit în map-ul HTTPS
 use_backend %[req.ssl_sni,lower,map(/etc/haproxy/maps/web-https.map)]
 
 # Dacă domeniul accesat prin TLS nu există în map, conexiunea este respinsă direct
 default_backend be_https_deny
 
</code>

==== Configurare Backend ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> # nano /etc/haproxy/conf.d/websites.cfg
 
 # DEFINIRE BACKEND-URI SERVERE VIRTUALE
 
 # BACKEND-URI VM1 (192.168.14.11)
 backend be_vm1_http
 mode http
 server vm1_web 192.168.14.11:80 check
 
 backend be_vm1_https
 mode tcp
 server vm1_ssl 192.168.14.11:443 check
 
 # BACKEND-URI VM2 (192.168.14.22)
 backend be_vm2_http
 mode http
 server vm2_web 192.168.14.22:80 check
 
 backend be_vm2_https
 mode tcp
 server vm2_ssl 192.168.14.22:443 check
 
 # BACKEND-URI VM3 (192.168.14.33)
 backend be_vm3_http
 mode http
 server vm3_web 192.168.14.33:80 check
 
 backend be_vm3_https
 mode tcp
 server vm3_ssl 192.168.14.33:443 check
 
 # BACKEND SIGURANȚĂ (DENY)
 backend be_https_deny
 mode tcp
</code>

=== Structură Fișiere Mapare Dinamică ===

Pentru a evita modificarea continuă a fișierului principal de configurare la adăugarea de noi domenii, folosim fișiere de mapare de tip cheie-valoare (*.map).

==== Fișier Mapare HTTP (Port 80) ====
<code class="mw-code mw-highlight plainlinks" style="display:block"> # nano /etc/haproxy/maps/web-http.map
 # VM1 - 192.168.1.11
 domeniu.eu be_vm1_http
 sub.domeniu.eu be_vm1_http
 # VM2 - 192.168.1.22
 domeniu.com be_vm2_http
 sub.domeniu.com be_vm2_http
 # VM3 - 192.168.1.33
 domeniu.ro be_vm3_http
 sub.domeniu.ro be_vm3_http
</code>

==== Fișier Mapare HTTPS (Port 443) ====
<code class="mw-code mw-highlight plainlinks" style="display:block"> # nano /etc/haproxy/maps/web-https.map
 # VM1 - 192.168.1.11
 domeniu.eu be_vm1_https
 sub.domeniu.eu be_vm1_https
 # VM2 - 192.168.1.22
 domeniu.com be_vm2_https
 sub.domeniu.com be_vm2_https
 # VM3 - 192.168.1.33
 domeniu.ro be_vm3_https
 sub.domeniu.ro be_vm3_https
</code>

=== Integrare Modulară în Systemd (conf.d) ===

Pentru ca HAProxy să încarce automat toate fișierele de configurare din directorul secundar <tt>conf.d/</tt>, trebuie modificat scriptul de pornire al serviciului în Systemd.

==== Modificarea fișierului de serviciu ====

Caută linia implicită de pornire și comenteaz-o
Adaugă direct sub ea noua instrucțiune care include ambele căi de configurare ("haproxy.cfg" și directorul "conf.d/").

<code class="mw-code mw-highlight plainlinks" style="display:block"> # nano /usr/lib/systemd/system/haproxy.service
 
 # ExecStart=/usr/sbin/haproxy -Ws -f $CONFIG -p $PIDFILE $EXTRAOPTS
 ExecStart=/usr/sbin/haproxy -Ws -f /etc/haproxy/haproxy.cfg -f /etc/haproxy/conf.d/ -p /run/haproxy.pid
</code>

==== Reîncărcarea și Aplicarea Modificărilor ====
<code class="mw-code mw-highlight plainlinks" style="display:block"> # systemctl daemon-reload
 # systemctl restart haproxy
</code>

==== Managementul Configurării ====

Unul dintre marile avantaje ale acestei arhitecturi este capacitatea de a aplica modificări fără a întrerupe sesiunile HTTP/HTTPS active ale utilizatorilor (Zero-Downtime).

<code class="mw-code mw-highlight plainlinks" style="display:block"> # haproxy -c -f /etc/haproxy/haproxy.cfg -f /etc/haproxy/conf.d/ # Validarea sintaxei
 # systemctl reload haproxy # Reîncărcarea serviciului cu noua configurare
</code>

== HAProxy pentru Baze de Date (MySQL / MariaDB) ==

Această secțiune descrie configurarea HAProxy în Modul TCP (Layer 4) pentru baze de date. Deoarece MySQL/MariaDB folosește un protocol binar propriu, HAProxy nu va inspecta conținutul pachetelor, ci doar va ruta conexiunile la nivel de port.

=== Prerechizite: Utilizatorul de Health Check ===

Pentru ca HAProxy să poată verifica dacă serverele MySQL sunt "vii" (fără a deschide doar portul TCP orbește), trebuie creat un utilizator fără parole și fără privilegii pe serverul de baze de date.

<code class="mw-code mw-highlight plainlinks" style="display:block"> CREATE USER 'haproxy_check'@'192.168.14.11';
 FLUSH PRIVILEGES;
</code>
Se execută pe Master (dacă replicarea este pornită).

=== Replicare Master/Slave ===
[[File:HaproxySQL_MS.png|782x616px|none|HAProxy Master-Slave]]

Destinat infrastructurilor clasice Master/Slave. Aplicația folosește un singur punct de conexiune (db.domeniu.lan:3306). HAProxy trimite tot traficul către Master, în timp ce Slave-ul stă în așteptare (backup) și preia automat activitatea doar dacă Masterul intră în crash.

<code class="mw-code mw-highlight plainlinks" style="display:block">''' # nano /etc/haproxy/haproxy.cfg'''
 
 # FRONTEND DATABASE (Master/Slave)
 frontend fe_mysql_master_slave
 bind *:3306
 mode tcp
 default_backend be_mysql_master_slave
 
 # BACKEND DATABASE (Master/Slave)
 backend be_mysql_master_slave
 mode tcp
 balance leastconn
 option mysql-check user haproxy_check
 
 # Serverul Master - preia 100% din trafic în mod normal
 server dbm 192.168.14.11:3306 check on-marked-down shutdown-sessions
 
 # Serverul Slave - preia traficul DOAR dacă dbm devine offline
 server dbs 192.168.14.22:3306 check backup
</code>

* mode tcp - Obligatoriu pentru baze de date. Suprascrie modul HTTP implicit.
* balance leastconn - Direcționează conexiunile noi către nodul cu cele mai puține sesiuni active.
* option mysql-check user ... - Interoghează nativ serverul MySQL pentru a-i verifica starea.
* on-marked-down shutdown-sessions - Dacă Masterul pică testul de sănătate, HAProxy taie instant toate conexiunile active/persistente din pool, forțând aplicația să se mute imediat pe Slave-ul de backup.
* backup - Marchează serverul ca pasiv. Nu primește trafic atât timp cât nodul principal este online.

=== Replicare Multi-Master / Multi-Node ===
[[File:HaproxySQL_MM.png|782x616px|none|HAProxy Multi-Master]]

Destinat arhitecturilor sincrone de tip MariaDB Galera Cluster sau MySQL Group Replication. Deoarece toate cele 3 noduri pot accepta simultan operațiuni de scriere și citire (Read/Write), HAProxy va distribui conexiunile dinamic între toate mașinile virtuale.

<code class="mw-code mw-highlight plainlinks" style="display:block"> ''' # nano /etc/haproxy/haproxy.cfg'''
 
 # FRONTEND DATABASE (Multi-Master)
 frontend fe_mysql_multimaster
 bind *:3306
 mode tcp
 default_backend be_mysql_multimaster
 
 # BACKEND DATABASE (Multi-Master)
 backend be_mysql_multimaster
 mode tcp
 balance leastconn
 option mysql-check user haproxy_check
 
 # Traficul este împărțit dinamic pe toate cele 3 noduri active
 server db_node1 192.168.14.11:3306 check weight 1
 server db_node2 192.168.14.22:3306 check weight 1
 server db_node3 192.168.14.33:3306 check weight 1
</code>

* Fără directiva backup - Toate nodurile sunt tratate ca primare și rulează în paralel.
* balance leastconn - Esențial în Multi-Master. Deoarece interogările SQL au durate și eforturi complet diferite, algoritmul trimite conexiunile noi către cel mai liber server hardware în acea milisecundă, prevenind suprasaturarea unui singur nod.
* weight 1 - Toate serverele au ponderi egale. Dacă un nod din cluster este mai puternic din punct de vedere hardware, îi puteți crește valoarea (ex: weight 2) pentru a-i aloca proporțional mai multe conexiuni.

== Pagina de statistici HAProxy ==

<code class="mw-code mw-highlight plainlinks" style="display:block"> listen stats
 bind *:9000
 mode http
 stats enable
 stats uri /stats
 stats refresh 5s
 stats auth admin:pass123
</code>

* *bind :9000 – port dedicat pentru statistici.
* stats uri /stats – URL-ul paginii.
* stats auth – autentificare basic HTTP.

==== Accesare pagina de statistici ====
http://192.168.14.123:9000/stats

[[File:HAProxy stats.png|782x616px|none|HAProxy_stats]]

HAProxy

2026-11-01T01:10:35Z

Wikiadmin: /* Pagina de statistici HAProxy */

HAProxy

2026-11-01T01:10:22Z

Wikiadmin: /* Ansible playbook pentru configurare */

== HAProxy - Load Balancing Standard (Grup Unic Backend) ==
[[File:HAProxy.png|782x616px|none|HAProxy]]
=== Instalare HAProxy ===
La instalare HAProxy activează serviciul systemd.
<code class="mw-code mw-highlight plainlinks" style="display:block"> # apt -y install haproxy
</code>

=== Structura fișierului de configurare ===

Fișierul principal:
<code class="mw-code mw-highlight plainlinks" style="display:block"> # nano /etc/haproxy/haproxy.cfg
</code>

Configurația este împărțită în:
* global – setări pentru procesul HAProxy
* defaults – setări implicite pentru toate secțiunile
* frontend – puncte de intrare pentru trafic
* backend – serverele către care se trimite traficul

==== Secțiunea global ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> global
 log /dev/log local0
 log /dev/log local1 notice
 maxconn 4096
 user haproxy
 group haproxy
 daemon
</code>

* log /dev/log local0 – trimite logurile către syslog.
* log /dev/log local1 notice – al doilea canal de log, nivel minim notice.
* maxconn 4096 – număr maxim de conexiuni simultane.
* user/group haproxy – rulează cu userul de sistem haproxy.
* daemon – rulează în background.

==== Secțiunea defaults ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> defaults
 log global
 mode http
 option httplog
 option dontlognull
 timeout connect 5s
 timeout client 30s
 timeout server 30s
</code>
* log global – folosește setările din secțiunea global.
* mode http – modul implicit pentru frontend/backend.*
* option httplog – loguri detaliate HTTP.
* option dontlognull – nu loghează conexiuni goale.
* timeout connect/client/server – limite de timp pentru conexiuni.
 * Dacă un frontend sau backend are propriul mode (ex: mode tcp), acesta suprascrie automat valoarea din defaults

==== Frontend HTTP (port 80) ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> frontend http_in
 bind *:80
 mode http
 option forwardfor
 default_backend http_webserver
</code>

* bind *:80 – ascultă pe portul 80.
* mode http – procesează header-ele HTTP.
* option forwardfor – adaugă X‑Forwarded‑For cu IP-ul real al clientului.
* default_backend http_webserver – trimite traficul către backend-ul HTTP.

==== Backend HTTP ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> backend http_webserver
 mode http
 balance leastconn
 option httpchk GET /
 server vm01 192.168.14.11:80 check
 server vm02 192.168.14.22:80 check
 server vm03 192.168.14.33:80 check
</code>

* mode http – backend-ul procesează HTTP.
* balance leastconn – trimite traficul către serverul cu cele mai puține conexiuni active.
* option httpchk GET / – health-check HTTP.
* server vm01/vm02/vm03 – cele trei VM.

=== HTTPS (port 443) cu SSL Termination în HAProxy ===

În această situaţie HAProxy gestionează certificatul.

==== Generare certificat Let’s Encrypt ====

Necesită port 80 public și domeniu valid. 
Certbot, în modul --standalone, pornește un mini‑webserver intern pe portul 80 pentru a răspunde la challenge-ul HTTP‑01 de la Let’s Encrypt. 
Dacă HAProxy este pornit, acesta ocupă portul 80 și Certbot nu poate porni serverul de validare, ceea ce duce la eșecul generării certificatului.

'''Instalare certbot'''

<code class="mw-code mw-highlight plainlinks" style="display:block"> apt -y install certbot
</code>

'''Oprire temporară HAProxy'''

<code class="mw-code mw-highlight plainlinks" style="display:block"> systemctl stop haproxy
</code>

'''Generare certificat'''

<code class="mw-code mw-highlight plainlinks" style="display:block"> certbot certonly --standalone -d wiki.stradivart.ro
</code>

'''Creare fișier PEM pentru HAProxy'''

<code class="mw-code mw-highlight plainlinks" style="display:block"> # mkdir -p /etc/haproxy/certs
 # cat /etc/letsencrypt/live/wiki.stradivart.ro/fullchain.pem \
 /etc/letsencrypt/live/wiki.stradivart.ro/privkey.pem \
 > /etc/haproxy/certs/wiki.stradivart.ro.pem
 # chmod 600 /etc/haproxy/certs/wiki.stradivart.ro.pem
</code>

==== Frontend HTTPS (SSL termination) ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> frontend https_in
 bind *:443 ssl crt /etc/haproxy/certs/wiki.stradivart.ro.pem
 mode http
 option forwardfor
 default_backend http_webserver
</code>
* *bind :443 ssl crt ... – HAProxy decriptează SSL.
* mode http – traficul devine HTTP după terminarea SSL.
* default_backend http_webserver – backend-ul HTTP unic.

==== Backend HTTPS (SSL termination) ====

În cazul SSL termination, backend-ul nu procesează trafic HTTPS. 
HAProxy decriptează SSL în frontend, iar backend-ul primește trafic HTTP normal (non‑SSL). 
De aceea backend-ul este identic cu backend-ul HTTP.

<code class="mw-code mw-highlight plainlinks" style="display:block"> backend http_webserver
 mode http
 balance leastconn
 option httpchk GET /
 server vm01 192.168.14.11:80 check
 server vm02 192.168.14.22:80 check
 server vm03 192.168.14.33:80 check
</code>

* mode http – backend-ul procesează HTTP.
* balance leastconn – trimite traficul către serverul cu cele mai puține conexiuni active.
* option httpchk GET / – health-check HTTP.
* server vm01/vm02/vm03 – cele trei VM.

=== HTTPS (port 443) cu SSL Passthrough ===

Webserver-ul gestionează certificatul. HAProxy doar forward-ează pachetele SSL.

==== Frontend HTTPS (SSL passthrough) ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> frontend https_in
 bind *:443
 mode tcp
 default_backend httpS_webserver
</code>

* *bind :443 – ascultă pe portul 443.
* mode tcp – HAProxy nu decriptează SSL.
* default_backend httpS_webserver – backend separat în modul TCP.

==== Backend HTTPS (SSL passthrough) ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> backend httpS_webserver
 mode tcp
 balance leastconn
 server vm01 192.168.14.11:443 check
 server vm02 192.168.14.22:443 check
 server vm03 192.168.14.33:443 check
</code>

* mode tcp – forward transparent al pachetelor SSL.
* balance leastconn – distribuție inteligentă.
* server vm01/vm02/vm03 – VM-urile ISPConfig.

=== Frontend HTTP (port 80) - ACME Challenge ===

Această secțiune descrie configurarea HAProxy pentru a permite generarea certificatelor Let’s Encrypt în ISPConfig atunci când HAProxy funcționează în modul SSL Passthrough.
Pentru validarea HTTP‑01, traficul către /.well-known/acme-challenge/ trebuie direcționat către backend-ul HTTP al ISPConfig.

==== Frontend HTTP (ACME Challenge Forwarding) ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> frontend http_in
 bind *:80
 mode http
 acl letsencrypt-acl path_beg /.well-known/acme-challenge/
 use_backend letsencrypt-backend if letsencrypt-acl
 default_backend ispconfig_http
</code>

* acl letsencrypt-acl path_beg - detectăm cererile ACME challenge
* use_backend - Forward ACME challenge către backend-ul dedicat
* default_backend - Restul traficului HTTP merge către backend-ul HTTP normal

==== Backend HTTP (ACME Challenge Forwarding) ====

Backend dedicat pentru Let’s Encrypt.
Acesta trebuie să trimită cererile către portul 80 al serverrelor ISPConfig.

<code class="mw-code mw-highlight plainlinks" style="display:block"> backend letsencrypt-backend
 mode http
 server isp1 192.168.14.11:80 check
 server isp2 192.168.14.22:80 check
 server isp3 192.168.14.33:80 check
</code>

==== Backend HTTP (trafic normal) ====

Backend-ul standard pentru HTTP (port 80), folosit pentru redirectări, panel ISPConfig, sau site-uri HTTP.

<code class="mw-code mw-highlight plainlinks" style="display:block"> backend ispconfig_http
 mode http
 balance roundrobin
 option httpchk GET /
 server isp1 192.168.14.11:80 check
 server isp2 192.168.14.22:80 check
 server isp3 192.168.14.33:80 check
</code>

=== Pagina de statistici HAProxy ===

<code class="mw-code mw-highlight plainlinks" style="display:block"> listen stats
 bind *:9000
 mode http
 stats enable
 stats uri /stats
 stats refresh 5s
 stats auth admin:pass123
</code>

* *bind :9000 – port dedicat pentru statistici.
* stats uri /stats – URL-ul paginii.
* stats auth – autentificare basic HTTP.

==== Accesare pagina de statistici ====
http://192.168.14.123:9000/stats

[[File:HAProxy stats.png|782x616px|none|HAProxy_stats]]

== HAProxy cu SSL Passthrough și Mapări Dinamice Layer 7 ==
[[File:haproxyLayer7.png|782x616px|none|HAProxy Layer7]]

Acest scenariu avansat descrie configurarea HAProxy ca un "Router Layer 7 (Content-Based Switch)". Această arhitectură permite consolidarea mai multor domenii și subdomenii complet diferite pe un singur IP public extern, rutând traficul dinamic către mașini virtuale (backend-uri) separate, fără ca HAProxy să decripteze traficul SSL/TLS (SSL Passthrough).

=== Configurare Frontend-uri și Backend-uri Modulare ===

Fișierele sunt stocate modular în directorul inclus secundar (`conf.d/`).

==== Configurare Frontend ====

Fișierele sunt stocate modular în directorul inclus secundar (`conf.d/`).

<code class="mw-code mw-highlight plainlinks" style="display:block"> # nano /etc/haproxy/conf.d/websites.cfg
 
 # FRONTEND HTTP - Port 80 (Cu suport ACME Challenge integrat dinamic)
 
 frontend fe_http
 bind *:80
 mode http
 
 # Extrage stringul curat al domeniului (taie portul :80 trimis de unele browsere)
 http-request set-var(txn.backend) req.hdr(host),field(1,:),lower,map(/etc/haproxy/maps/web-http.map)
 
 # Detecție trafic ACME Challenge (Let's Encrypt / ISPConfig)
 acl is_acme path_beg /.well-known/acme-challenge/
 
 # Securitate: Blocare 403 dacă domeniul nu există în map ȘI nu este o cerere ACME
 http-request deny deny_status 403 if ! { var(txn.backend) -m found } !is_acme
 
 # Rutare: Trimite către backend-ul identificat în map
 use_backend %[var(txn.backend)] if { var(txn.backend) -m found }
 
 # Fallback obligatoriu pentru procesarea automată a certificatelor ACME generate în ISPConfig
 default_backend be_vm1_http
 
 # FRONTEND HTTPS - Port 443 (SSL Passthrough transparent pe bază de SNI)
 
 frontend fe_https
 bind *:443
 mode tcp
 
 # Inspectează pachetele inițiale TCP pentru a citi header-ul TLS nesecurizat
 tcp-request inspect-delay 5s
 tcp-request content accept if { req.ssl_hello_type 1 }
 
 # Rutare Layer 4 bazată pe SNI-ul extras din handshake-ul TLS potrivit în map-ul HTTPS
 use_backend %[req.ssl_sni,lower,map(/etc/haproxy/maps/web-https.map)]
 
 # Dacă domeniul accesat prin TLS nu există în map, conexiunea este respinsă direct
 default_backend be_https_deny
 
</code>

==== Configurare Backend ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> # nano /etc/haproxy/conf.d/websites.cfg
 
 # DEFINIRE BACKEND-URI SERVERE VIRTUALE
 
 # BACKEND-URI VM1 (192.168.14.11)
 backend be_vm1_http
 mode http
 server vm1_web 192.168.14.11:80 check
 
 backend be_vm1_https
 mode tcp
 server vm1_ssl 192.168.14.11:443 check
 
 # BACKEND-URI VM2 (192.168.14.22)
 backend be_vm2_http
 mode http
 server vm2_web 192.168.14.22:80 check
 
 backend be_vm2_https
 mode tcp
 server vm2_ssl 192.168.14.22:443 check
 
 # BACKEND-URI VM3 (192.168.14.33)
 backend be_vm3_http
 mode http
 server vm3_web 192.168.14.33:80 check
 
 backend be_vm3_https
 mode tcp
 server vm3_ssl 192.168.14.33:443 check
 
 # BACKEND SIGURANȚĂ (DENY)
 backend be_https_deny
 mode tcp
</code>

=== Structură Fișiere Mapare Dinamică ===

Pentru a evita modificarea continuă a fișierului principal de configurare la adăugarea de noi domenii, folosim fișiere de mapare de tip cheie-valoare (*.map).

==== Fișier Mapare HTTP (Port 80) ====
<code class="mw-code mw-highlight plainlinks" style="display:block"> # nano /etc/haproxy/maps/web-http.map
 # VM1 - 192.168.1.11
 domeniu.eu be_vm1_http
 sub.domeniu.eu be_vm1_http
 # VM2 - 192.168.1.22
 domeniu.com be_vm2_http
 sub.domeniu.com be_vm2_http
 # VM3 - 192.168.1.33
 domeniu.ro be_vm3_http
 sub.domeniu.ro be_vm3_http
</code>

==== Fișier Mapare HTTPS (Port 443) ====
<code class="mw-code mw-highlight plainlinks" style="display:block"> # nano /etc/haproxy/maps/web-https.map
 # VM1 - 192.168.1.11
 domeniu.eu be_vm1_https
 sub.domeniu.eu be_vm1_https
 # VM2 - 192.168.1.22
 domeniu.com be_vm2_https
 sub.domeniu.com be_vm2_https
 # VM3 - 192.168.1.33
 domeniu.ro be_vm3_https
 sub.domeniu.ro be_vm3_https
</code>

=== Integrare Modulară în Systemd (conf.d) ===

Pentru ca HAProxy să încarce automat toate fișierele de configurare din directorul secundar <tt>conf.d/</tt>, trebuie modificat scriptul de pornire al serviciului în Systemd.

==== Modificarea fișierului de serviciu ====

Caută linia implicită de pornire și comenteaz-o
Adaugă direct sub ea noua instrucțiune care include ambele căi de configurare ("haproxy.cfg" și directorul "conf.d/").

<code class="mw-code mw-highlight plainlinks" style="display:block"> # nano /usr/lib/systemd/system/haproxy.service
 
 # ExecStart=/usr/sbin/haproxy -Ws -f $CONFIG -p $PIDFILE $EXTRAOPTS
 ExecStart=/usr/sbin/haproxy -Ws -f /etc/haproxy/haproxy.cfg -f /etc/haproxy/conf.d/ -p /run/haproxy.pid
</code>

==== Reîncărcarea și Aplicarea Modificărilor ====
<code class="mw-code mw-highlight plainlinks" style="display:block"> # systemctl daemon-reload
 # systemctl restart haproxy
</code>

==== Managementul Configurării ====

Unul dintre marile avantaje ale acestei arhitecturi este capacitatea de a aplica modificări fără a întrerupe sesiunile HTTP/HTTPS active ale utilizatorilor (Zero-Downtime).

<code class="mw-code mw-highlight plainlinks" style="display:block"> # haproxy -c -f /etc/haproxy/haproxy.cfg -f /etc/haproxy/conf.d/ # Validarea sintaxei
 # systemctl reload haproxy # Reîncărcarea serviciului cu noua configurare
</code>

== HAProxy pentru Baze de Date (MySQL / MariaDB) ==

Această secțiune descrie configurarea HAProxy în Modul TCP (Layer 4) pentru baze de date. Deoarece MySQL/MariaDB folosește un protocol binar propriu, HAProxy nu va inspecta conținutul pachetelor, ci doar va ruta conexiunile la nivel de port.

=== Prerechizite: Utilizatorul de Health Check ===

Pentru ca HAProxy să poată verifica dacă serverele MySQL sunt "vii" (fără a deschide doar portul TCP orbește), trebuie creat un utilizator fără parole și fără privilegii pe serverul de baze de date.

<code class="mw-code mw-highlight plainlinks" style="display:block"> CREATE USER 'haproxy_check'@'192.168.14.11';
 FLUSH PRIVILEGES;
</code>
Se execută pe Master (dacă replicarea este pornită).

=== Replicare Master/Slave ===
[[File:HaproxySQL_MS.png|782x616px|none|HAProxy Master-Slave]]

Destinat infrastructurilor clasice Master/Slave. Aplicația folosește un singur punct de conexiune (db.domeniu.lan:3306). HAProxy trimite tot traficul către Master, în timp ce Slave-ul stă în așteptare (backup) și preia automat activitatea doar dacă Masterul intră în crash.

<code class="mw-code mw-highlight plainlinks" style="display:block">''' # nano /etc/haproxy/haproxy.cfg'''
 
 # FRONTEND DATABASE (Master/Slave)
 frontend fe_mysql_master_slave
 bind *:3306
 mode tcp
 default_backend be_mysql_master_slave
 
 # BACKEND DATABASE (Master/Slave)
 backend be_mysql_master_slave
 mode tcp
 balance leastconn
 option mysql-check user haproxy_check
 
 # Serverul Master - preia 100% din trafic în mod normal
 server dbm 192.168.14.11:3306 check on-marked-down shutdown-sessions
 
 # Serverul Slave - preia traficul DOAR dacă dbm devine offline
 server dbs 192.168.14.22:3306 check backup
</code>

* mode tcp - Obligatoriu pentru baze de date. Suprascrie modul HTTP implicit.
* balance leastconn - Direcționează conexiunile noi către nodul cu cele mai puține sesiuni active.
* option mysql-check user ... - Interoghează nativ serverul MySQL pentru a-i verifica starea.
* on-marked-down shutdown-sessions - Dacă Masterul pică testul de sănătate, HAProxy taie instant toate conexiunile active/persistente din pool, forțând aplicația să se mute imediat pe Slave-ul de backup.
* backup - Marchează serverul ca pasiv. Nu primește trafic atât timp cât nodul principal este online.

=== Replicare Multi-Master / Multi-Node ===
[[File:HaproxySQL_MM.png|782x616px|none|HAProxy Multi-Master]]

Destinat arhitecturilor sincrone de tip MariaDB Galera Cluster sau MySQL Group Replication. Deoarece toate cele 3 noduri pot accepta simultan operațiuni de scriere și citire (Read/Write), HAProxy va distribui conexiunile dinamic între toate mașinile virtuale.

<code class="mw-code mw-highlight plainlinks" style="display:block"> ''' # nano /etc/haproxy/haproxy.cfg'''
 
 # FRONTEND DATABASE (Multi-Master)
 frontend fe_mysql_multimaster
 bind *:3306
 mode tcp
 default_backend be_mysql_multimaster
 
 # BACKEND DATABASE (Multi-Master)
 backend be_mysql_multimaster
 mode tcp
 balance leastconn
 option mysql-check user haproxy_check
 
 # Traficul este împărțit dinamic pe toate cele 3 noduri active
 server db_node1 192.168.14.11:3306 check weight 1
 server db_node2 192.168.14.22:3306 check weight 1
 server db_node3 192.168.14.33:3306 check weight 1
</code>

* Fără directiva backup - Toate nodurile sunt tratate ca primare și rulează în paralel.
* balance leastconn - Esențial în Multi-Master. Deoarece interogările SQL au durate și eforturi complet diferite, algoritmul trimite conexiunile noi către cel mai liber server hardware în acea milisecundă, prevenind suprasaturarea unui singur nod.
* weight 1 - Toate serverele au ponderi egale. Dacă un nod din cluster este mai puternic din punct de vedere hardware, îi puteți crește valoarea (ex: weight 2) pentru a-i aloca proporțional mai multe conexiuni.

HAProxy

2026-11-01T01:09:52Z

Wikiadmin: /* Replicare Multi-Master / Multi-Node */

== HAProxy - Load Balancing Standard (Grup Unic Backend) ==
[[File:HAProxy.png|782x616px|none|HAProxy]]
=== Instalare HAProxy ===
La instalare HAProxy activează serviciul systemd.
<code class="mw-code mw-highlight plainlinks" style="display:block"> # apt -y install haproxy
</code>

=== Structura fișierului de configurare ===

Fișierul principal:
<code class="mw-code mw-highlight plainlinks" style="display:block"> # nano /etc/haproxy/haproxy.cfg
</code>

Configurația este împărțită în:
* global – setări pentru procesul HAProxy
* defaults – setări implicite pentru toate secțiunile
* frontend – puncte de intrare pentru trafic
* backend – serverele către care se trimite traficul

==== Secțiunea global ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> global
 log /dev/log local0
 log /dev/log local1 notice
 maxconn 4096
 user haproxy
 group haproxy
 daemon
</code>

* log /dev/log local0 – trimite logurile către syslog.
* log /dev/log local1 notice – al doilea canal de log, nivel minim notice.
* maxconn 4096 – număr maxim de conexiuni simultane.
* user/group haproxy – rulează cu userul de sistem haproxy.
* daemon – rulează în background.

==== Secțiunea defaults ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> defaults
 log global
 mode http
 option httplog
 option dontlognull
 timeout connect 5s
 timeout client 30s
 timeout server 30s
</code>
* log global – folosește setările din secțiunea global.
* mode http – modul implicit pentru frontend/backend.*
* option httplog – loguri detaliate HTTP.
* option dontlognull – nu loghează conexiuni goale.
* timeout connect/client/server – limite de timp pentru conexiuni.
 * Dacă un frontend sau backend are propriul mode (ex: mode tcp), acesta suprascrie automat valoarea din defaults

==== Frontend HTTP (port 80) ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> frontend http_in
 bind *:80
 mode http
 option forwardfor
 default_backend http_webserver
</code>

* bind *:80 – ascultă pe portul 80.
* mode http – procesează header-ele HTTP.
* option forwardfor – adaugă X‑Forwarded‑For cu IP-ul real al clientului.
* default_backend http_webserver – trimite traficul către backend-ul HTTP.

==== Backend HTTP ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> backend http_webserver
 mode http
 balance leastconn
 option httpchk GET /
 server vm01 192.168.14.11:80 check
 server vm02 192.168.14.22:80 check
 server vm03 192.168.14.33:80 check
</code>

* mode http – backend-ul procesează HTTP.
* balance leastconn – trimite traficul către serverul cu cele mai puține conexiuni active.
* option httpchk GET / – health-check HTTP.
* server vm01/vm02/vm03 – cele trei VM.

=== HTTPS (port 443) cu SSL Termination în HAProxy ===

În această situaţie HAProxy gestionează certificatul.

==== Generare certificat Let’s Encrypt ====

Necesită port 80 public și domeniu valid. 
Certbot, în modul --standalone, pornește un mini‑webserver intern pe portul 80 pentru a răspunde la challenge-ul HTTP‑01 de la Let’s Encrypt. 
Dacă HAProxy este pornit, acesta ocupă portul 80 și Certbot nu poate porni serverul de validare, ceea ce duce la eșecul generării certificatului.

'''Instalare certbot'''

<code class="mw-code mw-highlight plainlinks" style="display:block"> apt -y install certbot
</code>

'''Oprire temporară HAProxy'''

<code class="mw-code mw-highlight plainlinks" style="display:block"> systemctl stop haproxy
</code>

'''Generare certificat'''

<code class="mw-code mw-highlight plainlinks" style="display:block"> certbot certonly --standalone -d wiki.stradivart.ro
</code>

'''Creare fișier PEM pentru HAProxy'''

<code class="mw-code mw-highlight plainlinks" style="display:block"> # mkdir -p /etc/haproxy/certs
 # cat /etc/letsencrypt/live/wiki.stradivart.ro/fullchain.pem \
 /etc/letsencrypt/live/wiki.stradivart.ro/privkey.pem \
 > /etc/haproxy/certs/wiki.stradivart.ro.pem
 # chmod 600 /etc/haproxy/certs/wiki.stradivart.ro.pem
</code>

==== Frontend HTTPS (SSL termination) ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> frontend https_in
 bind *:443 ssl crt /etc/haproxy/certs/wiki.stradivart.ro.pem
 mode http
 option forwardfor
 default_backend http_webserver
</code>
* *bind :443 ssl crt ... – HAProxy decriptează SSL.
* mode http – traficul devine HTTP după terminarea SSL.
* default_backend http_webserver – backend-ul HTTP unic.

==== Backend HTTPS (SSL termination) ====

În cazul SSL termination, backend-ul nu procesează trafic HTTPS. 
HAProxy decriptează SSL în frontend, iar backend-ul primește trafic HTTP normal (non‑SSL). 
De aceea backend-ul este identic cu backend-ul HTTP.

<code class="mw-code mw-highlight plainlinks" style="display:block"> backend http_webserver
 mode http
 balance leastconn
 option httpchk GET /
 server vm01 192.168.14.11:80 check
 server vm02 192.168.14.22:80 check
 server vm03 192.168.14.33:80 check
</code>

* mode http – backend-ul procesează HTTP.
* balance leastconn – trimite traficul către serverul cu cele mai puține conexiuni active.
* option httpchk GET / – health-check HTTP.
* server vm01/vm02/vm03 – cele trei VM.

=== HTTPS (port 443) cu SSL Passthrough ===

Webserver-ul gestionează certificatul. HAProxy doar forward-ează pachetele SSL.

==== Frontend HTTPS (SSL passthrough) ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> frontend https_in
 bind *:443
 mode tcp
 default_backend httpS_webserver
</code>

* *bind :443 – ascultă pe portul 443.
* mode tcp – HAProxy nu decriptează SSL.
* default_backend httpS_webserver – backend separat în modul TCP.

==== Backend HTTPS (SSL passthrough) ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> backend httpS_webserver
 mode tcp
 balance leastconn
 server vm01 192.168.14.11:443 check
 server vm02 192.168.14.22:443 check
 server vm03 192.168.14.33:443 check
</code>

* mode tcp – forward transparent al pachetelor SSL.
* balance leastconn – distribuție inteligentă.
* server vm01/vm02/vm03 – VM-urile ISPConfig.

=== Frontend HTTP (port 80) - ACME Challenge ===

Această secțiune descrie configurarea HAProxy pentru a permite generarea certificatelor Let’s Encrypt în ISPConfig atunci când HAProxy funcționează în modul SSL Passthrough.
Pentru validarea HTTP‑01, traficul către /.well-known/acme-challenge/ trebuie direcționat către backend-ul HTTP al ISPConfig.

==== Frontend HTTP (ACME Challenge Forwarding) ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> frontend http_in
 bind *:80
 mode http
 acl letsencrypt-acl path_beg /.well-known/acme-challenge/
 use_backend letsencrypt-backend if letsencrypt-acl
 default_backend ispconfig_http
</code>

* acl letsencrypt-acl path_beg - detectăm cererile ACME challenge
* use_backend - Forward ACME challenge către backend-ul dedicat
* default_backend - Restul traficului HTTP merge către backend-ul HTTP normal

==== Backend HTTP (ACME Challenge Forwarding) ====

Backend dedicat pentru Let’s Encrypt.
Acesta trebuie să trimită cererile către portul 80 al serverrelor ISPConfig.

<code class="mw-code mw-highlight plainlinks" style="display:block"> backend letsencrypt-backend
 mode http
 server isp1 192.168.14.11:80 check
 server isp2 192.168.14.22:80 check
 server isp3 192.168.14.33:80 check
</code>

==== Backend HTTP (trafic normal) ====

Backend-ul standard pentru HTTP (port 80), folosit pentru redirectări, panel ISPConfig, sau site-uri HTTP.

<code class="mw-code mw-highlight plainlinks" style="display:block"> backend ispconfig_http
 mode http
 balance roundrobin
 option httpchk GET /
 server isp1 192.168.14.11:80 check
 server isp2 192.168.14.22:80 check
 server isp3 192.168.14.33:80 check
</code>

=== Pagina de statistici HAProxy ===

<code class="mw-code mw-highlight plainlinks" style="display:block"> listen stats
 bind *:9000
 mode http
 stats enable
 stats uri /stats
 stats refresh 5s
 stats auth admin:pass123
</code>

* *bind :9000 – port dedicat pentru statistici.
* stats uri /stats – URL-ul paginii.
* stats auth – autentificare basic HTTP.

==== Accesare pagina de statistici ====
http://192.168.14.123:9000/stats

[[File:HAProxy stats.png|782x616px|none|HAProxy_stats]]

==== Ansible playbook pentru configurare ====

===== Fişiere necesare =====

{| class="responsive-three-cols"
|-
| class="col" style="vertical-align:middle; text-align:center; padding:15px;" |

[[File:Filethumb.png|thumb|right|link=Media:Inventory.ini|Descarcă fișierul de inventar si variabile]]

| class="col" style="vertical-align:middle; text-align:center; padding:15px;" |

[[File:Filethumb.png|thumb|right|link=Media:Haproxy.yaml|Descarcă fișierul de instalare și configurare iniţială]]

| class="col" style="vertical-align:middle; text-align:center; padding:15px;" |

[[File:Filethumb.png|thumb|right|link=Media:Haproxy-conf.yaml|Descarcă fișierul de actualizare a configurării]]

|}

===== Instalarea HAProxy si configurarea primului frontend şi backend =====

<code class="mw-code mw-highlight plainlinks" style="display:block"> # ansible-playbook -i /path/to/Inventory.ini /path/to/Haproxy.yaml
</code>

===== Confingurarea frontend şi backend pentru HAProxy =====

<code class="mw-code mw-highlight plainlinks" style="display:block"> # ansible-playbook -i /path/to/Inventory.ini /path/to/Haproxy-conf.yaml
</code>

== HAProxy cu SSL Passthrough și Mapări Dinamice Layer 7 ==
[[File:haproxyLayer7.png|782x616px|none|HAProxy Layer7]]

Acest scenariu avansat descrie configurarea HAProxy ca un "Router Layer 7 (Content-Based Switch)". Această arhitectură permite consolidarea mai multor domenii și subdomenii complet diferite pe un singur IP public extern, rutând traficul dinamic către mașini virtuale (backend-uri) separate, fără ca HAProxy să decripteze traficul SSL/TLS (SSL Passthrough).

=== Configurare Frontend-uri și Backend-uri Modulare ===

Fișierele sunt stocate modular în directorul inclus secundar (`conf.d/`).

==== Configurare Frontend ====

Fișierele sunt stocate modular în directorul inclus secundar (`conf.d/`).

<code class="mw-code mw-highlight plainlinks" style="display:block"> # nano /etc/haproxy/conf.d/websites.cfg
 
 # FRONTEND HTTP - Port 80 (Cu suport ACME Challenge integrat dinamic)
 
 frontend fe_http
 bind *:80
 mode http
 
 # Extrage stringul curat al domeniului (taie portul :80 trimis de unele browsere)
 http-request set-var(txn.backend) req.hdr(host),field(1,:),lower,map(/etc/haproxy/maps/web-http.map)
 
 # Detecție trafic ACME Challenge (Let's Encrypt / ISPConfig)
 acl is_acme path_beg /.well-known/acme-challenge/
 
 # Securitate: Blocare 403 dacă domeniul nu există în map ȘI nu este o cerere ACME
 http-request deny deny_status 403 if ! { var(txn.backend) -m found } !is_acme
 
 # Rutare: Trimite către backend-ul identificat în map
 use_backend %[var(txn.backend)] if { var(txn.backend) -m found }
 
 # Fallback obligatoriu pentru procesarea automată a certificatelor ACME generate în ISPConfig
 default_backend be_vm1_http
 
 # FRONTEND HTTPS - Port 443 (SSL Passthrough transparent pe bază de SNI)
 
 frontend fe_https
 bind *:443
 mode tcp
 
 # Inspectează pachetele inițiale TCP pentru a citi header-ul TLS nesecurizat
 tcp-request inspect-delay 5s
 tcp-request content accept if { req.ssl_hello_type 1 }
 
 # Rutare Layer 4 bazată pe SNI-ul extras din handshake-ul TLS potrivit în map-ul HTTPS
 use_backend %[req.ssl_sni,lower,map(/etc/haproxy/maps/web-https.map)]
 
 # Dacă domeniul accesat prin TLS nu există în map, conexiunea este respinsă direct
 default_backend be_https_deny
 
</code>

==== Configurare Backend ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> # nano /etc/haproxy/conf.d/websites.cfg
 
 # DEFINIRE BACKEND-URI SERVERE VIRTUALE
 
 # BACKEND-URI VM1 (192.168.14.11)
 backend be_vm1_http
 mode http
 server vm1_web 192.168.14.11:80 check
 
 backend be_vm1_https
 mode tcp
 server vm1_ssl 192.168.14.11:443 check
 
 # BACKEND-URI VM2 (192.168.14.22)
 backend be_vm2_http
 mode http
 server vm2_web 192.168.14.22:80 check
 
 backend be_vm2_https
 mode tcp
 server vm2_ssl 192.168.14.22:443 check
 
 # BACKEND-URI VM3 (192.168.14.33)
 backend be_vm3_http
 mode http
 server vm3_web 192.168.14.33:80 check
 
 backend be_vm3_https
 mode tcp
 server vm3_ssl 192.168.14.33:443 check
 
 # BACKEND SIGURANȚĂ (DENY)
 backend be_https_deny
 mode tcp
</code>

=== Structură Fișiere Mapare Dinamică ===

Pentru a evita modificarea continuă a fișierului principal de configurare la adăugarea de noi domenii, folosim fișiere de mapare de tip cheie-valoare (*.map).

==== Fișier Mapare HTTP (Port 80) ====
<code class="mw-code mw-highlight plainlinks" style="display:block"> # nano /etc/haproxy/maps/web-http.map
 # VM1 - 192.168.1.11
 domeniu.eu be_vm1_http
 sub.domeniu.eu be_vm1_http
 # VM2 - 192.168.1.22
 domeniu.com be_vm2_http
 sub.domeniu.com be_vm2_http
 # VM3 - 192.168.1.33
 domeniu.ro be_vm3_http
 sub.domeniu.ro be_vm3_http
</code>

==== Fișier Mapare HTTPS (Port 443) ====
<code class="mw-code mw-highlight plainlinks" style="display:block"> # nano /etc/haproxy/maps/web-https.map
 # VM1 - 192.168.1.11
 domeniu.eu be_vm1_https
 sub.domeniu.eu be_vm1_https
 # VM2 - 192.168.1.22
 domeniu.com be_vm2_https
 sub.domeniu.com be_vm2_https
 # VM3 - 192.168.1.33
 domeniu.ro be_vm3_https
 sub.domeniu.ro be_vm3_https
</code>

=== Integrare Modulară în Systemd (conf.d) ===

Pentru ca HAProxy să încarce automat toate fișierele de configurare din directorul secundar <tt>conf.d/</tt>, trebuie modificat scriptul de pornire al serviciului în Systemd.

==== Modificarea fișierului de serviciu ====

Caută linia implicită de pornire și comenteaz-o
Adaugă direct sub ea noua instrucțiune care include ambele căi de configurare ("haproxy.cfg" și directorul "conf.d/").

<code class="mw-code mw-highlight plainlinks" style="display:block"> # nano /usr/lib/systemd/system/haproxy.service
 
 # ExecStart=/usr/sbin/haproxy -Ws -f $CONFIG -p $PIDFILE $EXTRAOPTS
 ExecStart=/usr/sbin/haproxy -Ws -f /etc/haproxy/haproxy.cfg -f /etc/haproxy/conf.d/ -p /run/haproxy.pid
</code>

==== Reîncărcarea și Aplicarea Modificărilor ====
<code class="mw-code mw-highlight plainlinks" style="display:block"> # systemctl daemon-reload
 # systemctl restart haproxy
</code>

==== Managementul Configurării ====

Unul dintre marile avantaje ale acestei arhitecturi este capacitatea de a aplica modificări fără a întrerupe sesiunile HTTP/HTTPS active ale utilizatorilor (Zero-Downtime).

<code class="mw-code mw-highlight plainlinks" style="display:block"> # haproxy -c -f /etc/haproxy/haproxy.cfg -f /etc/haproxy/conf.d/ # Validarea sintaxei
 # systemctl reload haproxy # Reîncărcarea serviciului cu noua configurare
</code>

== HAProxy pentru Baze de Date (MySQL / MariaDB) ==

Această secțiune descrie configurarea HAProxy în Modul TCP (Layer 4) pentru baze de date. Deoarece MySQL/MariaDB folosește un protocol binar propriu, HAProxy nu va inspecta conținutul pachetelor, ci doar va ruta conexiunile la nivel de port.

=== Prerechizite: Utilizatorul de Health Check ===

Pentru ca HAProxy să poată verifica dacă serverele MySQL sunt "vii" (fără a deschide doar portul TCP orbește), trebuie creat un utilizator fără parole și fără privilegii pe serverul de baze de date.

<code class="mw-code mw-highlight plainlinks" style="display:block"> CREATE USER 'haproxy_check'@'192.168.14.11';
 FLUSH PRIVILEGES;
</code>
Se execută pe Master (dacă replicarea este pornită).

=== Replicare Master/Slave ===
[[File:HaproxySQL_MS.png|782x616px|none|HAProxy Master-Slave]]

Destinat infrastructurilor clasice Master/Slave. Aplicația folosește un singur punct de conexiune (db.domeniu.lan:3306). HAProxy trimite tot traficul către Master, în timp ce Slave-ul stă în așteptare (backup) și preia automat activitatea doar dacă Masterul intră în crash.

<code class="mw-code mw-highlight plainlinks" style="display:block">''' # nano /etc/haproxy/haproxy.cfg'''
 
 # FRONTEND DATABASE (Master/Slave)
 frontend fe_mysql_master_slave
 bind *:3306
 mode tcp
 default_backend be_mysql_master_slave
 
 # BACKEND DATABASE (Master/Slave)
 backend be_mysql_master_slave
 mode tcp
 balance leastconn
 option mysql-check user haproxy_check
 
 # Serverul Master - preia 100% din trafic în mod normal
 server dbm 192.168.14.11:3306 check on-marked-down shutdown-sessions
 
 # Serverul Slave - preia traficul DOAR dacă dbm devine offline
 server dbs 192.168.14.22:3306 check backup
</code>

* mode tcp - Obligatoriu pentru baze de date. Suprascrie modul HTTP implicit.
* balance leastconn - Direcționează conexiunile noi către nodul cu cele mai puține sesiuni active.
* option mysql-check user ... - Interoghează nativ serverul MySQL pentru a-i verifica starea.
* on-marked-down shutdown-sessions - Dacă Masterul pică testul de sănătate, HAProxy taie instant toate conexiunile active/persistente din pool, forțând aplicația să se mute imediat pe Slave-ul de backup.
* backup - Marchează serverul ca pasiv. Nu primește trafic atât timp cât nodul principal este online.

=== Replicare Multi-Master / Multi-Node ===
[[File:HaproxySQL_MM.png|782x616px|none|HAProxy Multi-Master]]

Destinat arhitecturilor sincrone de tip MariaDB Galera Cluster sau MySQL Group Replication. Deoarece toate cele 3 noduri pot accepta simultan operațiuni de scriere și citire (Read/Write), HAProxy va distribui conexiunile dinamic între toate mașinile virtuale.

<code class="mw-code mw-highlight plainlinks" style="display:block"> ''' # nano /etc/haproxy/haproxy.cfg'''
 
 # FRONTEND DATABASE (Multi-Master)
 frontend fe_mysql_multimaster
 bind *:3306
 mode tcp
 default_backend be_mysql_multimaster
 
 # BACKEND DATABASE (Multi-Master)
 backend be_mysql_multimaster
 mode tcp
 balance leastconn
 option mysql-check user haproxy_check
 
 # Traficul este împărțit dinamic pe toate cele 3 noduri active
 server db_node1 192.168.14.11:3306 check weight 1
 server db_node2 192.168.14.22:3306 check weight 1
 server db_node3 192.168.14.33:3306 check weight 1
</code>

* Fără directiva backup - Toate nodurile sunt tratate ca primare și rulează în paralel.
* balance leastconn - Esențial în Multi-Master. Deoarece interogările SQL au durate și eforturi complet diferite, algoritmul trimite conexiunile noi către cel mai liber server hardware în acea milisecundă, prevenind suprasaturarea unui singur nod.
* weight 1 - Toate serverele au ponderi egale. Dacă un nod din cluster este mai puternic din punct de vedere hardware, îi puteți crește valoarea (ex: weight 2) pentru a-i aloca proporțional mai multe conexiuni.

HAProxy

2026-11-01T01:08:49Z

Wikiadmin: /* Replicare Multi-Master / Multi-Node */

== HAProxy - Load Balancing Standard (Grup Unic Backend) ==
[[File:HAProxy.png|782x616px|none|HAProxy]]
=== Instalare HAProxy ===
La instalare HAProxy activează serviciul systemd.
<code class="mw-code mw-highlight plainlinks" style="display:block"> # apt -y install haproxy
</code>

=== Structura fișierului de configurare ===

Fișierul principal:
<code class="mw-code mw-highlight plainlinks" style="display:block"> # nano /etc/haproxy/haproxy.cfg
</code>

Configurația este împărțită în:
* global – setări pentru procesul HAProxy
* defaults – setări implicite pentru toate secțiunile
* frontend – puncte de intrare pentru trafic
* backend – serverele către care se trimite traficul

==== Secțiunea global ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> global
 log /dev/log local0
 log /dev/log local1 notice
 maxconn 4096
 user haproxy
 group haproxy
 daemon
</code>

* log /dev/log local0 – trimite logurile către syslog.
* log /dev/log local1 notice – al doilea canal de log, nivel minim notice.
* maxconn 4096 – număr maxim de conexiuni simultane.
* user/group haproxy – rulează cu userul de sistem haproxy.
* daemon – rulează în background.

==== Secțiunea defaults ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> defaults
 log global
 mode http
 option httplog
 option dontlognull
 timeout connect 5s
 timeout client 30s
 timeout server 30s
</code>
* log global – folosește setările din secțiunea global.
* mode http – modul implicit pentru frontend/backend.*
* option httplog – loguri detaliate HTTP.
* option dontlognull – nu loghează conexiuni goale.
* timeout connect/client/server – limite de timp pentru conexiuni.
 * Dacă un frontend sau backend are propriul mode (ex: mode tcp), acesta suprascrie automat valoarea din defaults

==== Frontend HTTP (port 80) ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> frontend http_in
 bind *:80
 mode http
 option forwardfor
 default_backend http_webserver
</code>

* bind *:80 – ascultă pe portul 80.
* mode http – procesează header-ele HTTP.
* option forwardfor – adaugă X‑Forwarded‑For cu IP-ul real al clientului.
* default_backend http_webserver – trimite traficul către backend-ul HTTP.

==== Backend HTTP ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> backend http_webserver
 mode http
 balance leastconn
 option httpchk GET /
 server vm01 192.168.14.11:80 check
 server vm02 192.168.14.22:80 check
 server vm03 192.168.14.33:80 check
</code>

* mode http – backend-ul procesează HTTP.
* balance leastconn – trimite traficul către serverul cu cele mai puține conexiuni active.
* option httpchk GET / – health-check HTTP.
* server vm01/vm02/vm03 – cele trei VM.

=== HTTPS (port 443) cu SSL Termination în HAProxy ===

În această situaţie HAProxy gestionează certificatul.

==== Generare certificat Let’s Encrypt ====

Necesită port 80 public și domeniu valid. 
Certbot, în modul --standalone, pornește un mini‑webserver intern pe portul 80 pentru a răspunde la challenge-ul HTTP‑01 de la Let’s Encrypt. 
Dacă HAProxy este pornit, acesta ocupă portul 80 și Certbot nu poate porni serverul de validare, ceea ce duce la eșecul generării certificatului.

'''Instalare certbot'''

<code class="mw-code mw-highlight plainlinks" style="display:block"> apt -y install certbot
</code>

'''Oprire temporară HAProxy'''

<code class="mw-code mw-highlight plainlinks" style="display:block"> systemctl stop haproxy
</code>

'''Generare certificat'''

<code class="mw-code mw-highlight plainlinks" style="display:block"> certbot certonly --standalone -d wiki.stradivart.ro
</code>

'''Creare fișier PEM pentru HAProxy'''

<code class="mw-code mw-highlight plainlinks" style="display:block"> # mkdir -p /etc/haproxy/certs
 # cat /etc/letsencrypt/live/wiki.stradivart.ro/fullchain.pem \
 /etc/letsencrypt/live/wiki.stradivart.ro/privkey.pem \
 > /etc/haproxy/certs/wiki.stradivart.ro.pem
 # chmod 600 /etc/haproxy/certs/wiki.stradivart.ro.pem
</code>

==== Frontend HTTPS (SSL termination) ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> frontend https_in
 bind *:443 ssl crt /etc/haproxy/certs/wiki.stradivart.ro.pem
 mode http
 option forwardfor
 default_backend http_webserver
</code>
* *bind :443 ssl crt ... – HAProxy decriptează SSL.
* mode http – traficul devine HTTP după terminarea SSL.
* default_backend http_webserver – backend-ul HTTP unic.

==== Backend HTTPS (SSL termination) ====

În cazul SSL termination, backend-ul nu procesează trafic HTTPS. 
HAProxy decriptează SSL în frontend, iar backend-ul primește trafic HTTP normal (non‑SSL). 
De aceea backend-ul este identic cu backend-ul HTTP.

<code class="mw-code mw-highlight plainlinks" style="display:block"> backend http_webserver
 mode http
 balance leastconn
 option httpchk GET /
 server vm01 192.168.14.11:80 check
 server vm02 192.168.14.22:80 check
 server vm03 192.168.14.33:80 check
</code>

* mode http – backend-ul procesează HTTP.
* balance leastconn – trimite traficul către serverul cu cele mai puține conexiuni active.
* option httpchk GET / – health-check HTTP.
* server vm01/vm02/vm03 – cele trei VM.

=== HTTPS (port 443) cu SSL Passthrough ===

Webserver-ul gestionează certificatul. HAProxy doar forward-ează pachetele SSL.

==== Frontend HTTPS (SSL passthrough) ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> frontend https_in
 bind *:443
 mode tcp
 default_backend httpS_webserver
</code>

* *bind :443 – ascultă pe portul 443.
* mode tcp – HAProxy nu decriptează SSL.
* default_backend httpS_webserver – backend separat în modul TCP.

==== Backend HTTPS (SSL passthrough) ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> backend httpS_webserver
 mode tcp
 balance leastconn
 server vm01 192.168.14.11:443 check
 server vm02 192.168.14.22:443 check
 server vm03 192.168.14.33:443 check
</code>

* mode tcp – forward transparent al pachetelor SSL.
* balance leastconn – distribuție inteligentă.
* server vm01/vm02/vm03 – VM-urile ISPConfig.

=== Frontend HTTP (port 80) - ACME Challenge ===

Această secțiune descrie configurarea HAProxy pentru a permite generarea certificatelor Let’s Encrypt în ISPConfig atunci când HAProxy funcționează în modul SSL Passthrough.
Pentru validarea HTTP‑01, traficul către /.well-known/acme-challenge/ trebuie direcționat către backend-ul HTTP al ISPConfig.

==== Frontend HTTP (ACME Challenge Forwarding) ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> frontend http_in
 bind *:80
 mode http
 acl letsencrypt-acl path_beg /.well-known/acme-challenge/
 use_backend letsencrypt-backend if letsencrypt-acl
 default_backend ispconfig_http
</code>

* acl letsencrypt-acl path_beg - detectăm cererile ACME challenge
* use_backend - Forward ACME challenge către backend-ul dedicat
* default_backend - Restul traficului HTTP merge către backend-ul HTTP normal

==== Backend HTTP (ACME Challenge Forwarding) ====

Backend dedicat pentru Let’s Encrypt.
Acesta trebuie să trimită cererile către portul 80 al serverrelor ISPConfig.

<code class="mw-code mw-highlight plainlinks" style="display:block"> backend letsencrypt-backend
 mode http
 server isp1 192.168.14.11:80 check
 server isp2 192.168.14.22:80 check
 server isp3 192.168.14.33:80 check
</code>

==== Backend HTTP (trafic normal) ====

Backend-ul standard pentru HTTP (port 80), folosit pentru redirectări, panel ISPConfig, sau site-uri HTTP.

<code class="mw-code mw-highlight plainlinks" style="display:block"> backend ispconfig_http
 mode http
 balance roundrobin
 option httpchk GET /
 server isp1 192.168.14.11:80 check
 server isp2 192.168.14.22:80 check
 server isp3 192.168.14.33:80 check
</code>

=== Pagina de statistici HAProxy ===

<code class="mw-code mw-highlight plainlinks" style="display:block"> listen stats
 bind *:9000
 mode http
 stats enable
 stats uri /stats
 stats refresh 5s
 stats auth admin:pass123
</code>

* *bind :9000 – port dedicat pentru statistici.
* stats uri /stats – URL-ul paginii.
* stats auth – autentificare basic HTTP.

==== Accesare pagina de statistici ====
http://192.168.14.123:9000/stats

[[File:HAProxy stats.png|782x616px|none|HAProxy_stats]]

==== Ansible playbook pentru configurare ====

===== Fişiere necesare =====

{| class="responsive-three-cols"
|-
| class="col" style="vertical-align:middle; text-align:center; padding:15px;" |

[[File:Filethumb.png|thumb|right|link=Media:Inventory.ini|Descarcă fișierul de inventar si variabile]]

| class="col" style="vertical-align:middle; text-align:center; padding:15px;" |

[[File:Filethumb.png|thumb|right|link=Media:Haproxy.yaml|Descarcă fișierul de instalare și configurare iniţială]]

| class="col" style="vertical-align:middle; text-align:center; padding:15px;" |

[[File:Filethumb.png|thumb|right|link=Media:Haproxy-conf.yaml|Descarcă fișierul de actualizare a configurării]]

|}

===== Instalarea HAProxy si configurarea primului frontend şi backend =====

<code class="mw-code mw-highlight plainlinks" style="display:block"> # ansible-playbook -i /path/to/Inventory.ini /path/to/Haproxy.yaml
</code>

===== Confingurarea frontend şi backend pentru HAProxy =====

<code class="mw-code mw-highlight plainlinks" style="display:block"> # ansible-playbook -i /path/to/Inventory.ini /path/to/Haproxy-conf.yaml
</code>

== HAProxy cu SSL Passthrough și Mapări Dinamice Layer 7 ==
[[File:haproxyLayer7.png|782x616px|none|HAProxy Layer7]]

Acest scenariu avansat descrie configurarea HAProxy ca un "Router Layer 7 (Content-Based Switch)". Această arhitectură permite consolidarea mai multor domenii și subdomenii complet diferite pe un singur IP public extern, rutând traficul dinamic către mașini virtuale (backend-uri) separate, fără ca HAProxy să decripteze traficul SSL/TLS (SSL Passthrough).

=== Configurare Frontend-uri și Backend-uri Modulare ===

Fișierele sunt stocate modular în directorul inclus secundar (`conf.d/`).

==== Configurare Frontend ====

Fișierele sunt stocate modular în directorul inclus secundar (`conf.d/`).

<code class="mw-code mw-highlight plainlinks" style="display:block"> # nano /etc/haproxy/conf.d/websites.cfg
 
 # FRONTEND HTTP - Port 80 (Cu suport ACME Challenge integrat dinamic)
 
 frontend fe_http
 bind *:80
 mode http
 
 # Extrage stringul curat al domeniului (taie portul :80 trimis de unele browsere)
 http-request set-var(txn.backend) req.hdr(host),field(1,:),lower,map(/etc/haproxy/maps/web-http.map)
 
 # Detecție trafic ACME Challenge (Let's Encrypt / ISPConfig)
 acl is_acme path_beg /.well-known/acme-challenge/
 
 # Securitate: Blocare 403 dacă domeniul nu există în map ȘI nu este o cerere ACME
 http-request deny deny_status 403 if ! { var(txn.backend) -m found } !is_acme
 
 # Rutare: Trimite către backend-ul identificat în map
 use_backend %[var(txn.backend)] if { var(txn.backend) -m found }
 
 # Fallback obligatoriu pentru procesarea automată a certificatelor ACME generate în ISPConfig
 default_backend be_vm1_http
 
 # FRONTEND HTTPS - Port 443 (SSL Passthrough transparent pe bază de SNI)
 
 frontend fe_https
 bind *:443
 mode tcp
 
 # Inspectează pachetele inițiale TCP pentru a citi header-ul TLS nesecurizat
 tcp-request inspect-delay 5s
 tcp-request content accept if { req.ssl_hello_type 1 }
 
 # Rutare Layer 4 bazată pe SNI-ul extras din handshake-ul TLS potrivit în map-ul HTTPS
 use_backend %[req.ssl_sni,lower,map(/etc/haproxy/maps/web-https.map)]
 
 # Dacă domeniul accesat prin TLS nu există în map, conexiunea este respinsă direct
 default_backend be_https_deny
 
</code>

==== Configurare Backend ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> # nano /etc/haproxy/conf.d/websites.cfg
 
 # DEFINIRE BACKEND-URI SERVERE VIRTUALE
 
 # BACKEND-URI VM1 (192.168.14.11)
 backend be_vm1_http
 mode http
 server vm1_web 192.168.14.11:80 check
 
 backend be_vm1_https
 mode tcp
 server vm1_ssl 192.168.14.11:443 check
 
 # BACKEND-URI VM2 (192.168.14.22)
 backend be_vm2_http
 mode http
 server vm2_web 192.168.14.22:80 check
 
 backend be_vm2_https
 mode tcp
 server vm2_ssl 192.168.14.22:443 check
 
 # BACKEND-URI VM3 (192.168.14.33)
 backend be_vm3_http
 mode http
 server vm3_web 192.168.14.33:80 check
 
 backend be_vm3_https
 mode tcp
 server vm3_ssl 192.168.14.33:443 check
 
 # BACKEND SIGURANȚĂ (DENY)
 backend be_https_deny
 mode tcp
</code>

=== Structură Fișiere Mapare Dinamică ===

Pentru a evita modificarea continuă a fișierului principal de configurare la adăugarea de noi domenii, folosim fișiere de mapare de tip cheie-valoare (*.map).

==== Fișier Mapare HTTP (Port 80) ====
<code class="mw-code mw-highlight plainlinks" style="display:block"> # nano /etc/haproxy/maps/web-http.map
 # VM1 - 192.168.1.11
 domeniu.eu be_vm1_http
 sub.domeniu.eu be_vm1_http
 # VM2 - 192.168.1.22
 domeniu.com be_vm2_http
 sub.domeniu.com be_vm2_http
 # VM3 - 192.168.1.33
 domeniu.ro be_vm3_http
 sub.domeniu.ro be_vm3_http
</code>

==== Fișier Mapare HTTPS (Port 443) ====
<code class="mw-code mw-highlight plainlinks" style="display:block"> # nano /etc/haproxy/maps/web-https.map
 # VM1 - 192.168.1.11
 domeniu.eu be_vm1_https
 sub.domeniu.eu be_vm1_https
 # VM2 - 192.168.1.22
 domeniu.com be_vm2_https
 sub.domeniu.com be_vm2_https
 # VM3 - 192.168.1.33
 domeniu.ro be_vm3_https
 sub.domeniu.ro be_vm3_https
</code>

=== Integrare Modulară în Systemd (conf.d) ===

Pentru ca HAProxy să încarce automat toate fișierele de configurare din directorul secundar <tt>conf.d/</tt>, trebuie modificat scriptul de pornire al serviciului în Systemd.

==== Modificarea fișierului de serviciu ====

Caută linia implicită de pornire și comenteaz-o
Adaugă direct sub ea noua instrucțiune care include ambele căi de configurare ("haproxy.cfg" și directorul "conf.d/").

<code class="mw-code mw-highlight plainlinks" style="display:block"> # nano /usr/lib/systemd/system/haproxy.service
 
 # ExecStart=/usr/sbin/haproxy -Ws -f $CONFIG -p $PIDFILE $EXTRAOPTS
 ExecStart=/usr/sbin/haproxy -Ws -f /etc/haproxy/haproxy.cfg -f /etc/haproxy/conf.d/ -p /run/haproxy.pid
</code>

==== Reîncărcarea și Aplicarea Modificărilor ====
<code class="mw-code mw-highlight plainlinks" style="display:block"> # systemctl daemon-reload
 # systemctl restart haproxy
</code>

==== Managementul Configurării ====

Unul dintre marile avantaje ale acestei arhitecturi este capacitatea de a aplica modificări fără a întrerupe sesiunile HTTP/HTTPS active ale utilizatorilor (Zero-Downtime).

<code class="mw-code mw-highlight plainlinks" style="display:block"> # haproxy -c -f /etc/haproxy/haproxy.cfg -f /etc/haproxy/conf.d/ # Validarea sintaxei
 # systemctl reload haproxy # Reîncărcarea serviciului cu noua configurare
</code>

== HAProxy pentru Baze de Date (MySQL / MariaDB) ==

Această secțiune descrie configurarea HAProxy în Modul TCP (Layer 4) pentru baze de date. Deoarece MySQL/MariaDB folosește un protocol binar propriu, HAProxy nu va inspecta conținutul pachetelor, ci doar va ruta conexiunile la nivel de port.

=== Prerechizite: Utilizatorul de Health Check ===

Pentru ca HAProxy să poată verifica dacă serverele MySQL sunt "vii" (fără a deschide doar portul TCP orbește), trebuie creat un utilizator fără parole și fără privilegii pe serverul de baze de date.

<code class="mw-code mw-highlight plainlinks" style="display:block"> CREATE USER 'haproxy_check'@'192.168.14.11';
 FLUSH PRIVILEGES;
</code>
Se execută pe Master (dacă replicarea este pornită).

=== Replicare Master/Slave ===
[[File:HaproxySQL_MS.png|782x616px|none|HAProxy Master-Slave]]

Destinat infrastructurilor clasice Master/Slave. Aplicația folosește un singur punct de conexiune (db.domeniu.lan:3306). HAProxy trimite tot traficul către Master, în timp ce Slave-ul stă în așteptare (backup) și preia automat activitatea doar dacă Masterul intră în crash.

<code class="mw-code mw-highlight plainlinks" style="display:block">''' # nano /etc/haproxy/haproxy.cfg'''
 
 # FRONTEND DATABASE (Master/Slave)
 frontend fe_mysql_master_slave
 bind *:3306
 mode tcp
 default_backend be_mysql_master_slave
 
 # BACKEND DATABASE (Master/Slave)
 backend be_mysql_master_slave
 mode tcp
 balance leastconn
 option mysql-check user haproxy_check
 
 # Serverul Master - preia 100% din trafic în mod normal
 server dbm 192.168.14.11:3306 check on-marked-down shutdown-sessions
 
 # Serverul Slave - preia traficul DOAR dacă dbm devine offline
 server dbs 192.168.14.22:3306 check backup
</code>

* mode tcp - Obligatoriu pentru baze de date. Suprascrie modul HTTP implicit.
* balance leastconn - Direcționează conexiunile noi către nodul cu cele mai puține sesiuni active.
* option mysql-check user ... - Interoghează nativ serverul MySQL pentru a-i verifica starea.
* on-marked-down shutdown-sessions - Dacă Masterul pică testul de sănătate, HAProxy taie instant toate conexiunile active/persistente din pool, forțând aplicația să se mute imediat pe Slave-ul de backup.
* backup - Marchează serverul ca pasiv. Nu primește trafic atât timp cât nodul principal este online.

=== Replicare Multi-Master / Multi-Node ===
[[File:HaproxySQL_MM.png|782x616px|none|HAProxy Multi-Master]]

Destinat arhitecturilor sincrone de tip MariaDB Galera Cluster sau MySQL Group Replication. Deoarece toate cele 3 noduri pot accepta simultan operațiuni de scriere și citire (Read/Write), HAProxy va distribui conexiunile dinamic între toate mașinile virtuale.

<code class="mw-code mw-highlight plainlinks" style="display:block"> # nano /etc/haproxy/haproxy.cfg
 
 # FRONTEND DATABASE (Multi-Master)
 frontend fe_mysql_multimaster
 bind *:3306
 mode tcp
 default_backend be_mysql_multimaster
 
 # BACKEND DATABASE (Multi-Master)
 backend be_mysql_multimaster
 mode tcp
 balance leastconn
 option mysql-check user haproxy_check
 
 # Traficul este împărțit dinamic pe toate cele 3 noduri active
 server db_node1 192.168.14.11:3306 check weight 1
 server db_node2 192.168.14.22:3306 check weight 1
 server db_node3 192.168.14.33:3306 check weight 1
</code>

* Fără directiva backup - Toate nodurile sunt tratate ca primare și rulează în paralel.
* balance leastconn - Esențial în Multi-Master. Deoarece interogările SQL au durate și eforturi complet diferite, algoritmul trimite conexiunile noi către cel mai liber server hardware în acea milisecundă, prevenind suprasaturarea unui singur nod.
* weight 1 - Toate serverele au ponderi egale. Dacă un nod din cluster este mai puternic din punct de vedere hardware, îi puteți crește valoarea (ex: weight 2) pentru a-i aloca proporțional mai multe conexiuni.

HAProxy

2026-11-01T01:08:37Z

Wikiadmin: /* Replicare Master/Slave */

== HAProxy - Load Balancing Standard (Grup Unic Backend) ==
[[File:HAProxy.png|782x616px|none|HAProxy]]
=== Instalare HAProxy ===
La instalare HAProxy activează serviciul systemd.
<code class="mw-code mw-highlight plainlinks" style="display:block"> # apt -y install haproxy
</code>

=== Structura fișierului de configurare ===

Fișierul principal:
<code class="mw-code mw-highlight plainlinks" style="display:block"> # nano /etc/haproxy/haproxy.cfg
</code>

Configurația este împărțită în:
* global – setări pentru procesul HAProxy
* defaults – setări implicite pentru toate secțiunile
* frontend – puncte de intrare pentru trafic
* backend – serverele către care se trimite traficul

==== Secțiunea global ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> global
 log /dev/log local0
 log /dev/log local1 notice
 maxconn 4096
 user haproxy
 group haproxy
 daemon
</code>

* log /dev/log local0 – trimite logurile către syslog.
* log /dev/log local1 notice – al doilea canal de log, nivel minim notice.
* maxconn 4096 – număr maxim de conexiuni simultane.
* user/group haproxy – rulează cu userul de sistem haproxy.
* daemon – rulează în background.

==== Secțiunea defaults ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> defaults
 log global
 mode http
 option httplog
 option dontlognull
 timeout connect 5s
 timeout client 30s
 timeout server 30s
</code>
* log global – folosește setările din secțiunea global.
* mode http – modul implicit pentru frontend/backend.*
* option httplog – loguri detaliate HTTP.
* option dontlognull – nu loghează conexiuni goale.
* timeout connect/client/server – limite de timp pentru conexiuni.
 * Dacă un frontend sau backend are propriul mode (ex: mode tcp), acesta suprascrie automat valoarea din defaults

==== Frontend HTTP (port 80) ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> frontend http_in
 bind *:80
 mode http
 option forwardfor
 default_backend http_webserver
</code>

* bind *:80 – ascultă pe portul 80.
* mode http – procesează header-ele HTTP.
* option forwardfor – adaugă X‑Forwarded‑For cu IP-ul real al clientului.
* default_backend http_webserver – trimite traficul către backend-ul HTTP.

==== Backend HTTP ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> backend http_webserver
 mode http
 balance leastconn
 option httpchk GET /
 server vm01 192.168.14.11:80 check
 server vm02 192.168.14.22:80 check
 server vm03 192.168.14.33:80 check
</code>

* mode http – backend-ul procesează HTTP.
* balance leastconn – trimite traficul către serverul cu cele mai puține conexiuni active.
* option httpchk GET / – health-check HTTP.
* server vm01/vm02/vm03 – cele trei VM.

=== HTTPS (port 443) cu SSL Termination în HAProxy ===

În această situaţie HAProxy gestionează certificatul.

==== Generare certificat Let’s Encrypt ====

Necesită port 80 public și domeniu valid. 
Certbot, în modul --standalone, pornește un mini‑webserver intern pe portul 80 pentru a răspunde la challenge-ul HTTP‑01 de la Let’s Encrypt. 
Dacă HAProxy este pornit, acesta ocupă portul 80 și Certbot nu poate porni serverul de validare, ceea ce duce la eșecul generării certificatului.

'''Instalare certbot'''

<code class="mw-code mw-highlight plainlinks" style="display:block"> apt -y install certbot
</code>

'''Oprire temporară HAProxy'''

<code class="mw-code mw-highlight plainlinks" style="display:block"> systemctl stop haproxy
</code>

'''Generare certificat'''

<code class="mw-code mw-highlight plainlinks" style="display:block"> certbot certonly --standalone -d wiki.stradivart.ro
</code>

'''Creare fișier PEM pentru HAProxy'''

<code class="mw-code mw-highlight plainlinks" style="display:block"> # mkdir -p /etc/haproxy/certs
 # cat /etc/letsencrypt/live/wiki.stradivart.ro/fullchain.pem \
 /etc/letsencrypt/live/wiki.stradivart.ro/privkey.pem \
 > /etc/haproxy/certs/wiki.stradivart.ro.pem
 # chmod 600 /etc/haproxy/certs/wiki.stradivart.ro.pem
</code>

==== Frontend HTTPS (SSL termination) ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> frontend https_in
 bind *:443 ssl crt /etc/haproxy/certs/wiki.stradivart.ro.pem
 mode http
 option forwardfor
 default_backend http_webserver
</code>
* *bind :443 ssl crt ... – HAProxy decriptează SSL.
* mode http – traficul devine HTTP după terminarea SSL.
* default_backend http_webserver – backend-ul HTTP unic.

==== Backend HTTPS (SSL termination) ====

În cazul SSL termination, backend-ul nu procesează trafic HTTPS. 
HAProxy decriptează SSL în frontend, iar backend-ul primește trafic HTTP normal (non‑SSL). 
De aceea backend-ul este identic cu backend-ul HTTP.

<code class="mw-code mw-highlight plainlinks" style="display:block"> backend http_webserver
 mode http
 balance leastconn
 option httpchk GET /
 server vm01 192.168.14.11:80 check
 server vm02 192.168.14.22:80 check
 server vm03 192.168.14.33:80 check
</code>

* mode http – backend-ul procesează HTTP.
* balance leastconn – trimite traficul către serverul cu cele mai puține conexiuni active.
* option httpchk GET / – health-check HTTP.
* server vm01/vm02/vm03 – cele trei VM.

=== HTTPS (port 443) cu SSL Passthrough ===

Webserver-ul gestionează certificatul. HAProxy doar forward-ează pachetele SSL.

==== Frontend HTTPS (SSL passthrough) ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> frontend https_in
 bind *:443
 mode tcp
 default_backend httpS_webserver
</code>

* *bind :443 – ascultă pe portul 443.
* mode tcp – HAProxy nu decriptează SSL.
* default_backend httpS_webserver – backend separat în modul TCP.

==== Backend HTTPS (SSL passthrough) ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> backend httpS_webserver
 mode tcp
 balance leastconn
 server vm01 192.168.14.11:443 check
 server vm02 192.168.14.22:443 check
 server vm03 192.168.14.33:443 check
</code>

* mode tcp – forward transparent al pachetelor SSL.
* balance leastconn – distribuție inteligentă.
* server vm01/vm02/vm03 – VM-urile ISPConfig.

=== Frontend HTTP (port 80) - ACME Challenge ===

Această secțiune descrie configurarea HAProxy pentru a permite generarea certificatelor Let’s Encrypt în ISPConfig atunci când HAProxy funcționează în modul SSL Passthrough.
Pentru validarea HTTP‑01, traficul către /.well-known/acme-challenge/ trebuie direcționat către backend-ul HTTP al ISPConfig.

==== Frontend HTTP (ACME Challenge Forwarding) ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> frontend http_in
 bind *:80
 mode http
 acl letsencrypt-acl path_beg /.well-known/acme-challenge/
 use_backend letsencrypt-backend if letsencrypt-acl
 default_backend ispconfig_http
</code>

* acl letsencrypt-acl path_beg - detectăm cererile ACME challenge
* use_backend - Forward ACME challenge către backend-ul dedicat
* default_backend - Restul traficului HTTP merge către backend-ul HTTP normal

==== Backend HTTP (ACME Challenge Forwarding) ====

Backend dedicat pentru Let’s Encrypt.
Acesta trebuie să trimită cererile către portul 80 al serverrelor ISPConfig.

<code class="mw-code mw-highlight plainlinks" style="display:block"> backend letsencrypt-backend
 mode http
 server isp1 192.168.14.11:80 check
 server isp2 192.168.14.22:80 check
 server isp3 192.168.14.33:80 check
</code>

==== Backend HTTP (trafic normal) ====

Backend-ul standard pentru HTTP (port 80), folosit pentru redirectări, panel ISPConfig, sau site-uri HTTP.

<code class="mw-code mw-highlight plainlinks" style="display:block"> backend ispconfig_http
 mode http
 balance roundrobin
 option httpchk GET /
 server isp1 192.168.14.11:80 check
 server isp2 192.168.14.22:80 check
 server isp3 192.168.14.33:80 check
</code>

=== Pagina de statistici HAProxy ===

<code class="mw-code mw-highlight plainlinks" style="display:block"> listen stats
 bind *:9000
 mode http
 stats enable
 stats uri /stats
 stats refresh 5s
 stats auth admin:pass123
</code>

* *bind :9000 – port dedicat pentru statistici.
* stats uri /stats – URL-ul paginii.
* stats auth – autentificare basic HTTP.

==== Accesare pagina de statistici ====
http://192.168.14.123:9000/stats

[[File:HAProxy stats.png|782x616px|none|HAProxy_stats]]

==== Ansible playbook pentru configurare ====

===== Fişiere necesare =====

{| class="responsive-three-cols"
|-
| class="col" style="vertical-align:middle; text-align:center; padding:15px;" |

[[File:Filethumb.png|thumb|right|link=Media:Inventory.ini|Descarcă fișierul de inventar si variabile]]

| class="col" style="vertical-align:middle; text-align:center; padding:15px;" |

[[File:Filethumb.png|thumb|right|link=Media:Haproxy.yaml|Descarcă fișierul de instalare și configurare iniţială]]

| class="col" style="vertical-align:middle; text-align:center; padding:15px;" |

[[File:Filethumb.png|thumb|right|link=Media:Haproxy-conf.yaml|Descarcă fișierul de actualizare a configurării]]

|}

===== Instalarea HAProxy si configurarea primului frontend şi backend =====

<code class="mw-code mw-highlight plainlinks" style="display:block"> # ansible-playbook -i /path/to/Inventory.ini /path/to/Haproxy.yaml
</code>

===== Confingurarea frontend şi backend pentru HAProxy =====

<code class="mw-code mw-highlight plainlinks" style="display:block"> # ansible-playbook -i /path/to/Inventory.ini /path/to/Haproxy-conf.yaml
</code>

== HAProxy cu SSL Passthrough și Mapări Dinamice Layer 7 ==
[[File:haproxyLayer7.png|782x616px|none|HAProxy Layer7]]

Acest scenariu avansat descrie configurarea HAProxy ca un "Router Layer 7 (Content-Based Switch)". Această arhitectură permite consolidarea mai multor domenii și subdomenii complet diferite pe un singur IP public extern, rutând traficul dinamic către mașini virtuale (backend-uri) separate, fără ca HAProxy să decripteze traficul SSL/TLS (SSL Passthrough).

=== Configurare Frontend-uri și Backend-uri Modulare ===

Fișierele sunt stocate modular în directorul inclus secundar (`conf.d/`).

==== Configurare Frontend ====

Fișierele sunt stocate modular în directorul inclus secundar (`conf.d/`).

<code class="mw-code mw-highlight plainlinks" style="display:block"> # nano /etc/haproxy/conf.d/websites.cfg
 
 # FRONTEND HTTP - Port 80 (Cu suport ACME Challenge integrat dinamic)
 
 frontend fe_http
 bind *:80
 mode http
 
 # Extrage stringul curat al domeniului (taie portul :80 trimis de unele browsere)
 http-request set-var(txn.backend) req.hdr(host),field(1,:),lower,map(/etc/haproxy/maps/web-http.map)
 
 # Detecție trafic ACME Challenge (Let's Encrypt / ISPConfig)
 acl is_acme path_beg /.well-known/acme-challenge/
 
 # Securitate: Blocare 403 dacă domeniul nu există în map ȘI nu este o cerere ACME
 http-request deny deny_status 403 if ! { var(txn.backend) -m found } !is_acme
 
 # Rutare: Trimite către backend-ul identificat în map
 use_backend %[var(txn.backend)] if { var(txn.backend) -m found }
 
 # Fallback obligatoriu pentru procesarea automată a certificatelor ACME generate în ISPConfig
 default_backend be_vm1_http
 
 # FRONTEND HTTPS - Port 443 (SSL Passthrough transparent pe bază de SNI)
 
 frontend fe_https
 bind *:443
 mode tcp
 
 # Inspectează pachetele inițiale TCP pentru a citi header-ul TLS nesecurizat
 tcp-request inspect-delay 5s
 tcp-request content accept if { req.ssl_hello_type 1 }
 
 # Rutare Layer 4 bazată pe SNI-ul extras din handshake-ul TLS potrivit în map-ul HTTPS
 use_backend %[req.ssl_sni,lower,map(/etc/haproxy/maps/web-https.map)]
 
 # Dacă domeniul accesat prin TLS nu există în map, conexiunea este respinsă direct
 default_backend be_https_deny
 
</code>

==== Configurare Backend ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> # nano /etc/haproxy/conf.d/websites.cfg
 
 # DEFINIRE BACKEND-URI SERVERE VIRTUALE
 
 # BACKEND-URI VM1 (192.168.14.11)
 backend be_vm1_http
 mode http
 server vm1_web 192.168.14.11:80 check
 
 backend be_vm1_https
 mode tcp
 server vm1_ssl 192.168.14.11:443 check
 
 # BACKEND-URI VM2 (192.168.14.22)
 backend be_vm2_http
 mode http
 server vm2_web 192.168.14.22:80 check
 
 backend be_vm2_https
 mode tcp
 server vm2_ssl 192.168.14.22:443 check
 
 # BACKEND-URI VM3 (192.168.14.33)
 backend be_vm3_http
 mode http
 server vm3_web 192.168.14.33:80 check
 
 backend be_vm3_https
 mode tcp
 server vm3_ssl 192.168.14.33:443 check
 
 # BACKEND SIGURANȚĂ (DENY)
 backend be_https_deny
 mode tcp
</code>

=== Structură Fișiere Mapare Dinamică ===

Pentru a evita modificarea continuă a fișierului principal de configurare la adăugarea de noi domenii, folosim fișiere de mapare de tip cheie-valoare (*.map).

==== Fișier Mapare HTTP (Port 80) ====
<code class="mw-code mw-highlight plainlinks" style="display:block"> # nano /etc/haproxy/maps/web-http.map
 # VM1 - 192.168.1.11
 domeniu.eu be_vm1_http
 sub.domeniu.eu be_vm1_http
 # VM2 - 192.168.1.22
 domeniu.com be_vm2_http
 sub.domeniu.com be_vm2_http
 # VM3 - 192.168.1.33
 domeniu.ro be_vm3_http
 sub.domeniu.ro be_vm3_http
</code>

==== Fișier Mapare HTTPS (Port 443) ====
<code class="mw-code mw-highlight plainlinks" style="display:block"> # nano /etc/haproxy/maps/web-https.map
 # VM1 - 192.168.1.11
 domeniu.eu be_vm1_https
 sub.domeniu.eu be_vm1_https
 # VM2 - 192.168.1.22
 domeniu.com be_vm2_https
 sub.domeniu.com be_vm2_https
 # VM3 - 192.168.1.33
 domeniu.ro be_vm3_https
 sub.domeniu.ro be_vm3_https
</code>

=== Integrare Modulară în Systemd (conf.d) ===

Pentru ca HAProxy să încarce automat toate fișierele de configurare din directorul secundar <tt>conf.d/</tt>, trebuie modificat scriptul de pornire al serviciului în Systemd.

==== Modificarea fișierului de serviciu ====

Caută linia implicită de pornire și comenteaz-o
Adaugă direct sub ea noua instrucțiune care include ambele căi de configurare ("haproxy.cfg" și directorul "conf.d/").

<code class="mw-code mw-highlight plainlinks" style="display:block"> # nano /usr/lib/systemd/system/haproxy.service
 
 # ExecStart=/usr/sbin/haproxy -Ws -f $CONFIG -p $PIDFILE $EXTRAOPTS
 ExecStart=/usr/sbin/haproxy -Ws -f /etc/haproxy/haproxy.cfg -f /etc/haproxy/conf.d/ -p /run/haproxy.pid
</code>

==== Reîncărcarea și Aplicarea Modificărilor ====
<code class="mw-code mw-highlight plainlinks" style="display:block"> # systemctl daemon-reload
 # systemctl restart haproxy
</code>

==== Managementul Configurării ====

Unul dintre marile avantaje ale acestei arhitecturi este capacitatea de a aplica modificări fără a întrerupe sesiunile HTTP/HTTPS active ale utilizatorilor (Zero-Downtime).

<code class="mw-code mw-highlight plainlinks" style="display:block"> # haproxy -c -f /etc/haproxy/haproxy.cfg -f /etc/haproxy/conf.d/ # Validarea sintaxei
 # systemctl reload haproxy # Reîncărcarea serviciului cu noua configurare
</code>

== HAProxy pentru Baze de Date (MySQL / MariaDB) ==

Această secțiune descrie configurarea HAProxy în Modul TCP (Layer 4) pentru baze de date. Deoarece MySQL/MariaDB folosește un protocol binar propriu, HAProxy nu va inspecta conținutul pachetelor, ci doar va ruta conexiunile la nivel de port.

=== Prerechizite: Utilizatorul de Health Check ===

Pentru ca HAProxy să poată verifica dacă serverele MySQL sunt "vii" (fără a deschide doar portul TCP orbește), trebuie creat un utilizator fără parole și fără privilegii pe serverul de baze de date.

<code class="mw-code mw-highlight plainlinks" style="display:block"> CREATE USER 'haproxy_check'@'192.168.14.11';
 FLUSH PRIVILEGES;
</code>
Se execută pe Master (dacă replicarea este pornită).

=== Replicare Master/Slave ===
[[File:HaproxySQL_MS.png|782x616px|none|HAProxy Master-Slave]]

Destinat infrastructurilor clasice Master/Slave. Aplicația folosește un singur punct de conexiune (db.domeniu.lan:3306). HAProxy trimite tot traficul către Master, în timp ce Slave-ul stă în așteptare (backup) și preia automat activitatea doar dacă Masterul intră în crash.

<code class="mw-code mw-highlight plainlinks" style="display:block">''' # nano /etc/haproxy/haproxy.cfg'''
 
 # FRONTEND DATABASE (Master/Slave)
 frontend fe_mysql_master_slave
 bind *:3306
 mode tcp
 default_backend be_mysql_master_slave
 
 # BACKEND DATABASE (Master/Slave)
 backend be_mysql_master_slave
 mode tcp
 balance leastconn
 option mysql-check user haproxy_check
 
 # Serverul Master - preia 100% din trafic în mod normal
 server dbm 192.168.14.11:3306 check on-marked-down shutdown-sessions
 
 # Serverul Slave - preia traficul DOAR dacă dbm devine offline
 server dbs 192.168.14.22:3306 check backup
</code>

* mode tcp - Obligatoriu pentru baze de date. Suprascrie modul HTTP implicit.
* balance leastconn - Direcționează conexiunile noi către nodul cu cele mai puține sesiuni active.
* option mysql-check user ... - Interoghează nativ serverul MySQL pentru a-i verifica starea.
* on-marked-down shutdown-sessions - Dacă Masterul pică testul de sănătate, HAProxy taie instant toate conexiunile active/persistente din pool, forțând aplicația să se mute imediat pe Slave-ul de backup.
* backup - Marchează serverul ca pasiv. Nu primește trafic atât timp cât nodul principal este online.

=== Replicare Multi-Master / Multi-Node ===
[[File:HaproxySQL_MM.png.png|782x616px|none|HAProxy Multi-Master]]

Destinat arhitecturilor sincrone de tip MariaDB Galera Cluster sau MySQL Group Replication. Deoarece toate cele 3 noduri pot accepta simultan operațiuni de scriere și citire (Read/Write), HAProxy va distribui conexiunile dinamic între toate mașinile virtuale.

<code class="mw-code mw-highlight plainlinks" style="display:block"> # nano /etc/haproxy/haproxy.cfg
 
 # FRONTEND DATABASE (Multi-Master)
 frontend fe_mysql_multimaster
 bind *:3306
 mode tcp
 default_backend be_mysql_multimaster
 
 # BACKEND DATABASE (Multi-Master)
 backend be_mysql_multimaster
 mode tcp
 balance leastconn
 option mysql-check user haproxy_check
 
 # Traficul este împărțit dinamic pe toate cele 3 noduri active
 server db_node1 192.168.14.11:3306 check weight 1
 server db_node2 192.168.14.22:3306 check weight 1
 server db_node3 192.168.14.33:3306 check weight 1
</code>

* Fără directiva backup - Toate nodurile sunt tratate ca primare și rulează în paralel.
* balance leastconn - Esențial în Multi-Master. Deoarece interogările SQL au durate și eforturi complet diferite, algoritmul trimite conexiunile noi către cel mai liber server hardware în acea milisecundă, prevenind suprasaturarea unui singur nod.
* weight 1 - Toate serverele au ponderi egale. Dacă un nod din cluster este mai puternic din punct de vedere hardware, îi puteți crește valoarea (ex: weight 2) pentru a-i aloca proporțional mai multe conexiuni.

File:HaproxySQL MM.png

2026-11-01T01:07:18Z

Wikiadmin:

HAProxy

2026-11-01T00:57:58Z

Wikiadmin: /* Prerechizite: Utilizatorul de Health Check */

== HAProxy - Load Balancing Standard (Grup Unic Backend) ==
[[File:HAProxy.png|782x616px|none|HAProxy]]
=== Instalare HAProxy ===
La instalare HAProxy activează serviciul systemd.
<code class="mw-code mw-highlight plainlinks" style="display:block"> # apt -y install haproxy
</code>

=== Structura fișierului de configurare ===

Fișierul principal:
<code class="mw-code mw-highlight plainlinks" style="display:block"> # nano /etc/haproxy/haproxy.cfg
</code>

Configurația este împărțită în:
* global – setări pentru procesul HAProxy
* defaults – setări implicite pentru toate secțiunile
* frontend – puncte de intrare pentru trafic
* backend – serverele către care se trimite traficul

==== Secțiunea global ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> global
 log /dev/log local0
 log /dev/log local1 notice
 maxconn 4096
 user haproxy
 group haproxy
 daemon
</code>

* log /dev/log local0 – trimite logurile către syslog.
* log /dev/log local1 notice – al doilea canal de log, nivel minim notice.
* maxconn 4096 – număr maxim de conexiuni simultane.
* user/group haproxy – rulează cu userul de sistem haproxy.
* daemon – rulează în background.

==== Secțiunea defaults ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> defaults
 log global
 mode http
 option httplog
 option dontlognull
 timeout connect 5s
 timeout client 30s
 timeout server 30s
</code>
* log global – folosește setările din secțiunea global.
* mode http – modul implicit pentru frontend/backend.*
* option httplog – loguri detaliate HTTP.
* option dontlognull – nu loghează conexiuni goale.
* timeout connect/client/server – limite de timp pentru conexiuni.
 * Dacă un frontend sau backend are propriul mode (ex: mode tcp), acesta suprascrie automat valoarea din defaults

==== Frontend HTTP (port 80) ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> frontend http_in
 bind *:80
 mode http
 option forwardfor
 default_backend http_webserver
</code>

* bind *:80 – ascultă pe portul 80.
* mode http – procesează header-ele HTTP.
* option forwardfor – adaugă X‑Forwarded‑For cu IP-ul real al clientului.
* default_backend http_webserver – trimite traficul către backend-ul HTTP.

==== Backend HTTP ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> backend http_webserver
 mode http
 balance leastconn
 option httpchk GET /
 server vm01 192.168.14.11:80 check
 server vm02 192.168.14.22:80 check
 server vm03 192.168.14.33:80 check
</code>

* mode http – backend-ul procesează HTTP.
* balance leastconn – trimite traficul către serverul cu cele mai puține conexiuni active.
* option httpchk GET / – health-check HTTP.
* server vm01/vm02/vm03 – cele trei VM.

=== HTTPS (port 443) cu SSL Termination în HAProxy ===

În această situaţie HAProxy gestionează certificatul.

==== Generare certificat Let’s Encrypt ====

Necesită port 80 public și domeniu valid. 
Certbot, în modul --standalone, pornește un mini‑webserver intern pe portul 80 pentru a răspunde la challenge-ul HTTP‑01 de la Let’s Encrypt. 
Dacă HAProxy este pornit, acesta ocupă portul 80 și Certbot nu poate porni serverul de validare, ceea ce duce la eșecul generării certificatului.

'''Instalare certbot'''

<code class="mw-code mw-highlight plainlinks" style="display:block"> apt -y install certbot
</code>

'''Oprire temporară HAProxy'''

<code class="mw-code mw-highlight plainlinks" style="display:block"> systemctl stop haproxy
</code>

'''Generare certificat'''

<code class="mw-code mw-highlight plainlinks" style="display:block"> certbot certonly --standalone -d wiki.stradivart.ro
</code>

'''Creare fișier PEM pentru HAProxy'''

<code class="mw-code mw-highlight plainlinks" style="display:block"> # mkdir -p /etc/haproxy/certs
 # cat /etc/letsencrypt/live/wiki.stradivart.ro/fullchain.pem \
 /etc/letsencrypt/live/wiki.stradivart.ro/privkey.pem \
 > /etc/haproxy/certs/wiki.stradivart.ro.pem
 # chmod 600 /etc/haproxy/certs/wiki.stradivart.ro.pem
</code>

==== Frontend HTTPS (SSL termination) ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> frontend https_in
 bind *:443 ssl crt /etc/haproxy/certs/wiki.stradivart.ro.pem
 mode http
 option forwardfor
 default_backend http_webserver
</code>
* *bind :443 ssl crt ... – HAProxy decriptează SSL.
* mode http – traficul devine HTTP după terminarea SSL.
* default_backend http_webserver – backend-ul HTTP unic.

==== Backend HTTPS (SSL termination) ====

În cazul SSL termination, backend-ul nu procesează trafic HTTPS. 
HAProxy decriptează SSL în frontend, iar backend-ul primește trafic HTTP normal (non‑SSL). 
De aceea backend-ul este identic cu backend-ul HTTP.

<code class="mw-code mw-highlight plainlinks" style="display:block"> backend http_webserver
 mode http
 balance leastconn
 option httpchk GET /
 server vm01 192.168.14.11:80 check
 server vm02 192.168.14.22:80 check
 server vm03 192.168.14.33:80 check
</code>

* mode http – backend-ul procesează HTTP.
* balance leastconn – trimite traficul către serverul cu cele mai puține conexiuni active.
* option httpchk GET / – health-check HTTP.
* server vm01/vm02/vm03 – cele trei VM.

=== HTTPS (port 443) cu SSL Passthrough ===

Webserver-ul gestionează certificatul. HAProxy doar forward-ează pachetele SSL.

==== Frontend HTTPS (SSL passthrough) ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> frontend https_in
 bind *:443
 mode tcp
 default_backend httpS_webserver
</code>

* *bind :443 – ascultă pe portul 443.
* mode tcp – HAProxy nu decriptează SSL.
* default_backend httpS_webserver – backend separat în modul TCP.

==== Backend HTTPS (SSL passthrough) ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> backend httpS_webserver
 mode tcp
 balance leastconn
 server vm01 192.168.14.11:443 check
 server vm02 192.168.14.22:443 check
 server vm03 192.168.14.33:443 check
</code>

* mode tcp – forward transparent al pachetelor SSL.
* balance leastconn – distribuție inteligentă.
* server vm01/vm02/vm03 – VM-urile ISPConfig.

=== Frontend HTTP (port 80) - ACME Challenge ===

Această secțiune descrie configurarea HAProxy pentru a permite generarea certificatelor Let’s Encrypt în ISPConfig atunci când HAProxy funcționează în modul SSL Passthrough.
Pentru validarea HTTP‑01, traficul către /.well-known/acme-challenge/ trebuie direcționat către backend-ul HTTP al ISPConfig.

==== Frontend HTTP (ACME Challenge Forwarding) ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> frontend http_in
 bind *:80
 mode http
 acl letsencrypt-acl path_beg /.well-known/acme-challenge/
 use_backend letsencrypt-backend if letsencrypt-acl
 default_backend ispconfig_http
</code>

* acl letsencrypt-acl path_beg - detectăm cererile ACME challenge
* use_backend - Forward ACME challenge către backend-ul dedicat
* default_backend - Restul traficului HTTP merge către backend-ul HTTP normal

==== Backend HTTP (ACME Challenge Forwarding) ====

Backend dedicat pentru Let’s Encrypt.
Acesta trebuie să trimită cererile către portul 80 al serverrelor ISPConfig.

<code class="mw-code mw-highlight plainlinks" style="display:block"> backend letsencrypt-backend
 mode http
 server isp1 192.168.14.11:80 check
 server isp2 192.168.14.22:80 check
 server isp3 192.168.14.33:80 check
</code>

==== Backend HTTP (trafic normal) ====

Backend-ul standard pentru HTTP (port 80), folosit pentru redirectări, panel ISPConfig, sau site-uri HTTP.

<code class="mw-code mw-highlight plainlinks" style="display:block"> backend ispconfig_http
 mode http
 balance roundrobin
 option httpchk GET /
 server isp1 192.168.14.11:80 check
 server isp2 192.168.14.22:80 check
 server isp3 192.168.14.33:80 check
</code>

=== Pagina de statistici HAProxy ===

<code class="mw-code mw-highlight plainlinks" style="display:block"> listen stats
 bind *:9000
 mode http
 stats enable
 stats uri /stats
 stats refresh 5s
 stats auth admin:pass123
</code>

* *bind :9000 – port dedicat pentru statistici.
* stats uri /stats – URL-ul paginii.
* stats auth – autentificare basic HTTP.

==== Accesare pagina de statistici ====
http://192.168.14.123:9000/stats

[[File:HAProxy stats.png|782x616px|none|HAProxy_stats]]

==== Ansible playbook pentru configurare ====

===== Fişiere necesare =====

{| class="responsive-three-cols"
|-
| class="col" style="vertical-align:middle; text-align:center; padding:15px;" |

[[File:Filethumb.png|thumb|right|link=Media:Inventory.ini|Descarcă fișierul de inventar si variabile]]

| class="col" style="vertical-align:middle; text-align:center; padding:15px;" |

[[File:Filethumb.png|thumb|right|link=Media:Haproxy.yaml|Descarcă fișierul de instalare și configurare iniţială]]

| class="col" style="vertical-align:middle; text-align:center; padding:15px;" |

[[File:Filethumb.png|thumb|right|link=Media:Haproxy-conf.yaml|Descarcă fișierul de actualizare a configurării]]

|}

===== Instalarea HAProxy si configurarea primului frontend şi backend =====

<code class="mw-code mw-highlight plainlinks" style="display:block"> # ansible-playbook -i /path/to/Inventory.ini /path/to/Haproxy.yaml
</code>

===== Confingurarea frontend şi backend pentru HAProxy =====

<code class="mw-code mw-highlight plainlinks" style="display:block"> # ansible-playbook -i /path/to/Inventory.ini /path/to/Haproxy-conf.yaml
</code>

== HAProxy cu SSL Passthrough și Mapări Dinamice Layer 7 ==
[[File:haproxyLayer7.png|782x616px|none|HAProxy Layer7]]

Acest scenariu avansat descrie configurarea HAProxy ca un "Router Layer 7 (Content-Based Switch)". Această arhitectură permite consolidarea mai multor domenii și subdomenii complet diferite pe un singur IP public extern, rutând traficul dinamic către mașini virtuale (backend-uri) separate, fără ca HAProxy să decripteze traficul SSL/TLS (SSL Passthrough).

=== Configurare Frontend-uri și Backend-uri Modulare ===

Fișierele sunt stocate modular în directorul inclus secundar (`conf.d/`).

==== Configurare Frontend ====

Fișierele sunt stocate modular în directorul inclus secundar (`conf.d/`).

<code class="mw-code mw-highlight plainlinks" style="display:block"> # nano /etc/haproxy/conf.d/websites.cfg
 
 # FRONTEND HTTP - Port 80 (Cu suport ACME Challenge integrat dinamic)
 
 frontend fe_http
 bind *:80
 mode http
 
 # Extrage stringul curat al domeniului (taie portul :80 trimis de unele browsere)
 http-request set-var(txn.backend) req.hdr(host),field(1,:),lower,map(/etc/haproxy/maps/web-http.map)
 
 # Detecție trafic ACME Challenge (Let's Encrypt / ISPConfig)
 acl is_acme path_beg /.well-known/acme-challenge/
 
 # Securitate: Blocare 403 dacă domeniul nu există în map ȘI nu este o cerere ACME
 http-request deny deny_status 403 if ! { var(txn.backend) -m found } !is_acme
 
 # Rutare: Trimite către backend-ul identificat în map
 use_backend %[var(txn.backend)] if { var(txn.backend) -m found }
 
 # Fallback obligatoriu pentru procesarea automată a certificatelor ACME generate în ISPConfig
 default_backend be_vm1_http
 
 # FRONTEND HTTPS - Port 443 (SSL Passthrough transparent pe bază de SNI)
 
 frontend fe_https
 bind *:443
 mode tcp
 
 # Inspectează pachetele inițiale TCP pentru a citi header-ul TLS nesecurizat
 tcp-request inspect-delay 5s
 tcp-request content accept if { req.ssl_hello_type 1 }
 
 # Rutare Layer 4 bazată pe SNI-ul extras din handshake-ul TLS potrivit în map-ul HTTPS
 use_backend %[req.ssl_sni,lower,map(/etc/haproxy/maps/web-https.map)]
 
 # Dacă domeniul accesat prin TLS nu există în map, conexiunea este respinsă direct
 default_backend be_https_deny
 
</code>

==== Configurare Backend ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> # nano /etc/haproxy/conf.d/websites.cfg
 
 # DEFINIRE BACKEND-URI SERVERE VIRTUALE
 
 # BACKEND-URI VM1 (192.168.14.11)
 backend be_vm1_http
 mode http
 server vm1_web 192.168.14.11:80 check
 
 backend be_vm1_https
 mode tcp
 server vm1_ssl 192.168.14.11:443 check
 
 # BACKEND-URI VM2 (192.168.14.22)
 backend be_vm2_http
 mode http
 server vm2_web 192.168.14.22:80 check
 
 backend be_vm2_https
 mode tcp
 server vm2_ssl 192.168.14.22:443 check
 
 # BACKEND-URI VM3 (192.168.14.33)
 backend be_vm3_http
 mode http
 server vm3_web 192.168.14.33:80 check
 
 backend be_vm3_https
 mode tcp
 server vm3_ssl 192.168.14.33:443 check
 
 # BACKEND SIGURANȚĂ (DENY)
 backend be_https_deny
 mode tcp
</code>

=== Structură Fișiere Mapare Dinamică ===

Pentru a evita modificarea continuă a fișierului principal de configurare la adăugarea de noi domenii, folosim fișiere de mapare de tip cheie-valoare (*.map).

==== Fișier Mapare HTTP (Port 80) ====
<code class="mw-code mw-highlight plainlinks" style="display:block"> # nano /etc/haproxy/maps/web-http.map
 # VM1 - 192.168.1.11
 domeniu.eu be_vm1_http
 sub.domeniu.eu be_vm1_http
 # VM2 - 192.168.1.22
 domeniu.com be_vm2_http
 sub.domeniu.com be_vm2_http
 # VM3 - 192.168.1.33
 domeniu.ro be_vm3_http
 sub.domeniu.ro be_vm3_http
</code>

==== Fișier Mapare HTTPS (Port 443) ====
<code class="mw-code mw-highlight plainlinks" style="display:block"> # nano /etc/haproxy/maps/web-https.map
 # VM1 - 192.168.1.11
 domeniu.eu be_vm1_https
 sub.domeniu.eu be_vm1_https
 # VM2 - 192.168.1.22
 domeniu.com be_vm2_https
 sub.domeniu.com be_vm2_https
 # VM3 - 192.168.1.33
 domeniu.ro be_vm3_https
 sub.domeniu.ro be_vm3_https
</code>

=== Integrare Modulară în Systemd (conf.d) ===

Pentru ca HAProxy să încarce automat toate fișierele de configurare din directorul secundar <tt>conf.d/</tt>, trebuie modificat scriptul de pornire al serviciului în Systemd.

==== Modificarea fișierului de serviciu ====

Caută linia implicită de pornire și comenteaz-o
Adaugă direct sub ea noua instrucțiune care include ambele căi de configurare ("haproxy.cfg" și directorul "conf.d/").

<code class="mw-code mw-highlight plainlinks" style="display:block"> # nano /usr/lib/systemd/system/haproxy.service
 
 # ExecStart=/usr/sbin/haproxy -Ws -f $CONFIG -p $PIDFILE $EXTRAOPTS
 ExecStart=/usr/sbin/haproxy -Ws -f /etc/haproxy/haproxy.cfg -f /etc/haproxy/conf.d/ -p /run/haproxy.pid
</code>

==== Reîncărcarea și Aplicarea Modificărilor ====
<code class="mw-code mw-highlight plainlinks" style="display:block"> # systemctl daemon-reload
 # systemctl restart haproxy
</code>

==== Managementul Configurării ====

Unul dintre marile avantaje ale acestei arhitecturi este capacitatea de a aplica modificări fără a întrerupe sesiunile HTTP/HTTPS active ale utilizatorilor (Zero-Downtime).

<code class="mw-code mw-highlight plainlinks" style="display:block"> # haproxy -c -f /etc/haproxy/haproxy.cfg -f /etc/haproxy/conf.d/ # Validarea sintaxei
 # systemctl reload haproxy # Reîncărcarea serviciului cu noua configurare
</code>

== HAProxy pentru Baze de Date (MySQL / MariaDB) ==

Această secțiune descrie configurarea HAProxy în Modul TCP (Layer 4) pentru baze de date. Deoarece MySQL/MariaDB folosește un protocol binar propriu, HAProxy nu va inspecta conținutul pachetelor, ci doar va ruta conexiunile la nivel de port.

=== Prerechizite: Utilizatorul de Health Check ===

Pentru ca HAProxy să poată verifica dacă serverele MySQL sunt "vii" (fără a deschide doar portul TCP orbește), trebuie creat un utilizator fără parole și fără privilegii pe serverul de baze de date.

<code class="mw-code mw-highlight plainlinks" style="display:block"> CREATE USER 'haproxy_check'@'192.168.14.11';
 FLUSH PRIVILEGES;
</code>
Se execută pe Master (dacă replicarea este pornită).

=== Replicare Master/Slave ===
[[File:HaproxySQL_MS.png|782x616px|none|HAProxy Master-Slave]]

Destinat infrastructurilor clasice Master/Slave. Aplicația folosește un singur punct de conexiune (db.domeniu.lan:3306). HAProxy trimite tot traficul către Master, în timp ce Slave-ul stă în așteptare (backup) și preia automat activitatea doar dacă Masterul intră în crash.

<code class="mw-code mw-highlight plainlinks" style="display:block">''' # nano /etc/haproxy/haproxy.cfg'''
 
 # FRONTEND DATABASE (Master/Slave)
 frontend fe_mysql_master_slave
 bind *:3306
 mode tcp
 default_backend be_mysql_master_slave
 
 # BACKEND DATABASE (Master/Slave)
 backend be_mysql_master_slave
 mode tcp
 balance leastconn
 option mysql-check user haproxy_check
 
 # Serverul Master - preia 100% din trafic în mod normal
 server dbm 192.168.14.11:3306 check on-marked-down shutdown-sessions
 
 # Serverul Slave - preia traficul DOAR dacă dbm devine offline
 server dbs 192.168.14.22:3306 check backup
</code>

* mode tcp - Obligatoriu pentru baze de date. Suprascrie modul HTTP implicit.
* balance leastconn - Direcționează conexiunile noi către nodul cu cele mai puține sesiuni active.
* option mysql-check user ... - Interoghează nativ serverul MySQL pentru a-i verifica starea.
* on-marked-down shutdown-sessions - Dacă Masterul pică testul de sănătate, HAProxy taie instant toate conexiunile active/persistente din pool, forțând aplicația să se mute imediat pe Slave-ul de backup.
* backup - Marchează serverul ca pasiv. Nu primește trafic atât timp cât nodul principal este online.

HAProxy

2026-11-01T00:55:46Z

Wikiadmin: /* Replicare Master/Slave */

== HAProxy - Load Balancing Standard (Grup Unic Backend) ==
[[File:HAProxy.png|782x616px|none|HAProxy]]
=== Instalare HAProxy ===
La instalare HAProxy activează serviciul systemd.
<code class="mw-code mw-highlight plainlinks" style="display:block"> # apt -y install haproxy
</code>

=== Structura fișierului de configurare ===

Fișierul principal:
<code class="mw-code mw-highlight plainlinks" style="display:block"> # nano /etc/haproxy/haproxy.cfg
</code>

Configurația este împărțită în:
* global – setări pentru procesul HAProxy
* defaults – setări implicite pentru toate secțiunile
* frontend – puncte de intrare pentru trafic
* backend – serverele către care se trimite traficul

==== Secțiunea global ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> global
 log /dev/log local0
 log /dev/log local1 notice
 maxconn 4096
 user haproxy
 group haproxy
 daemon
</code>

* log /dev/log local0 – trimite logurile către syslog.
* log /dev/log local1 notice – al doilea canal de log, nivel minim notice.
* maxconn 4096 – număr maxim de conexiuni simultane.
* user/group haproxy – rulează cu userul de sistem haproxy.
* daemon – rulează în background.

==== Secțiunea defaults ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> defaults
 log global
 mode http
 option httplog
 option dontlognull
 timeout connect 5s
 timeout client 30s
 timeout server 30s
</code>
* log global – folosește setările din secțiunea global.
* mode http – modul implicit pentru frontend/backend.*
* option httplog – loguri detaliate HTTP.
* option dontlognull – nu loghează conexiuni goale.
* timeout connect/client/server – limite de timp pentru conexiuni.
 * Dacă un frontend sau backend are propriul mode (ex: mode tcp), acesta suprascrie automat valoarea din defaults

==== Frontend HTTP (port 80) ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> frontend http_in
 bind *:80
 mode http
 option forwardfor
 default_backend http_webserver
</code>

* bind *:80 – ascultă pe portul 80.
* mode http – procesează header-ele HTTP.
* option forwardfor – adaugă X‑Forwarded‑For cu IP-ul real al clientului.
* default_backend http_webserver – trimite traficul către backend-ul HTTP.

==== Backend HTTP ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> backend http_webserver
 mode http
 balance leastconn
 option httpchk GET /
 server vm01 192.168.14.11:80 check
 server vm02 192.168.14.22:80 check
 server vm03 192.168.14.33:80 check
</code>

* mode http – backend-ul procesează HTTP.
* balance leastconn – trimite traficul către serverul cu cele mai puține conexiuni active.
* option httpchk GET / – health-check HTTP.
* server vm01/vm02/vm03 – cele trei VM.

=== HTTPS (port 443) cu SSL Termination în HAProxy ===

În această situaţie HAProxy gestionează certificatul.

==== Generare certificat Let’s Encrypt ====

Necesită port 80 public și domeniu valid. 
Certbot, în modul --standalone, pornește un mini‑webserver intern pe portul 80 pentru a răspunde la challenge-ul HTTP‑01 de la Let’s Encrypt. 
Dacă HAProxy este pornit, acesta ocupă portul 80 și Certbot nu poate porni serverul de validare, ceea ce duce la eșecul generării certificatului.

'''Instalare certbot'''

<code class="mw-code mw-highlight plainlinks" style="display:block"> apt -y install certbot
</code>

'''Oprire temporară HAProxy'''

<code class="mw-code mw-highlight plainlinks" style="display:block"> systemctl stop haproxy
</code>

'''Generare certificat'''

<code class="mw-code mw-highlight plainlinks" style="display:block"> certbot certonly --standalone -d wiki.stradivart.ro
</code>

'''Creare fișier PEM pentru HAProxy'''

<code class="mw-code mw-highlight plainlinks" style="display:block"> # mkdir -p /etc/haproxy/certs
 # cat /etc/letsencrypt/live/wiki.stradivart.ro/fullchain.pem \
 /etc/letsencrypt/live/wiki.stradivart.ro/privkey.pem \
 > /etc/haproxy/certs/wiki.stradivart.ro.pem
 # chmod 600 /etc/haproxy/certs/wiki.stradivart.ro.pem
</code>

==== Frontend HTTPS (SSL termination) ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> frontend https_in
 bind *:443 ssl crt /etc/haproxy/certs/wiki.stradivart.ro.pem
 mode http
 option forwardfor
 default_backend http_webserver
</code>
* *bind :443 ssl crt ... – HAProxy decriptează SSL.
* mode http – traficul devine HTTP după terminarea SSL.
* default_backend http_webserver – backend-ul HTTP unic.

==== Backend HTTPS (SSL termination) ====

În cazul SSL termination, backend-ul nu procesează trafic HTTPS. 
HAProxy decriptează SSL în frontend, iar backend-ul primește trafic HTTP normal (non‑SSL). 
De aceea backend-ul este identic cu backend-ul HTTP.

<code class="mw-code mw-highlight plainlinks" style="display:block"> backend http_webserver
 mode http
 balance leastconn
 option httpchk GET /
 server vm01 192.168.14.11:80 check
 server vm02 192.168.14.22:80 check
 server vm03 192.168.14.33:80 check
</code>

* mode http – backend-ul procesează HTTP.
* balance leastconn – trimite traficul către serverul cu cele mai puține conexiuni active.
* option httpchk GET / – health-check HTTP.
* server vm01/vm02/vm03 – cele trei VM.

=== HTTPS (port 443) cu SSL Passthrough ===

Webserver-ul gestionează certificatul. HAProxy doar forward-ează pachetele SSL.

==== Frontend HTTPS (SSL passthrough) ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> frontend https_in
 bind *:443
 mode tcp
 default_backend httpS_webserver
</code>

* *bind :443 – ascultă pe portul 443.
* mode tcp – HAProxy nu decriptează SSL.
* default_backend httpS_webserver – backend separat în modul TCP.

==== Backend HTTPS (SSL passthrough) ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> backend httpS_webserver
 mode tcp
 balance leastconn
 server vm01 192.168.14.11:443 check
 server vm02 192.168.14.22:443 check
 server vm03 192.168.14.33:443 check
</code>

* mode tcp – forward transparent al pachetelor SSL.
* balance leastconn – distribuție inteligentă.
* server vm01/vm02/vm03 – VM-urile ISPConfig.

=== Frontend HTTP (port 80) - ACME Challenge ===

Această secțiune descrie configurarea HAProxy pentru a permite generarea certificatelor Let’s Encrypt în ISPConfig atunci când HAProxy funcționează în modul SSL Passthrough.
Pentru validarea HTTP‑01, traficul către /.well-known/acme-challenge/ trebuie direcționat către backend-ul HTTP al ISPConfig.

==== Frontend HTTP (ACME Challenge Forwarding) ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> frontend http_in
 bind *:80
 mode http
 acl letsencrypt-acl path_beg /.well-known/acme-challenge/
 use_backend letsencrypt-backend if letsencrypt-acl
 default_backend ispconfig_http
</code>

* acl letsencrypt-acl path_beg - detectăm cererile ACME challenge
* use_backend - Forward ACME challenge către backend-ul dedicat
* default_backend - Restul traficului HTTP merge către backend-ul HTTP normal

==== Backend HTTP (ACME Challenge Forwarding) ====

Backend dedicat pentru Let’s Encrypt.
Acesta trebuie să trimită cererile către portul 80 al serverrelor ISPConfig.

<code class="mw-code mw-highlight plainlinks" style="display:block"> backend letsencrypt-backend
 mode http
 server isp1 192.168.14.11:80 check
 server isp2 192.168.14.22:80 check
 server isp3 192.168.14.33:80 check
</code>

==== Backend HTTP (trafic normal) ====

Backend-ul standard pentru HTTP (port 80), folosit pentru redirectări, panel ISPConfig, sau site-uri HTTP.

<code class="mw-code mw-highlight plainlinks" style="display:block"> backend ispconfig_http
 mode http
 balance roundrobin
 option httpchk GET /
 server isp1 192.168.14.11:80 check
 server isp2 192.168.14.22:80 check
 server isp3 192.168.14.33:80 check
</code>

=== Pagina de statistici HAProxy ===

<code class="mw-code mw-highlight plainlinks" style="display:block"> listen stats
 bind *:9000
 mode http
 stats enable
 stats uri /stats
 stats refresh 5s
 stats auth admin:pass123
</code>

* *bind :9000 – port dedicat pentru statistici.
* stats uri /stats – URL-ul paginii.
* stats auth – autentificare basic HTTP.

==== Accesare pagina de statistici ====
http://192.168.14.123:9000/stats

[[File:HAProxy stats.png|782x616px|none|HAProxy_stats]]

==== Ansible playbook pentru configurare ====

===== Fişiere necesare =====

{| class="responsive-three-cols"
|-
| class="col" style="vertical-align:middle; text-align:center; padding:15px;" |

[[File:Filethumb.png|thumb|right|link=Media:Inventory.ini|Descarcă fișierul de inventar si variabile]]

| class="col" style="vertical-align:middle; text-align:center; padding:15px;" |

[[File:Filethumb.png|thumb|right|link=Media:Haproxy.yaml|Descarcă fișierul de instalare și configurare iniţială]]

| class="col" style="vertical-align:middle; text-align:center; padding:15px;" |

[[File:Filethumb.png|thumb|right|link=Media:Haproxy-conf.yaml|Descarcă fișierul de actualizare a configurării]]

|}

===== Instalarea HAProxy si configurarea primului frontend şi backend =====

<code class="mw-code mw-highlight plainlinks" style="display:block"> # ansible-playbook -i /path/to/Inventory.ini /path/to/Haproxy.yaml
</code>

===== Confingurarea frontend şi backend pentru HAProxy =====

<code class="mw-code mw-highlight plainlinks" style="display:block"> # ansible-playbook -i /path/to/Inventory.ini /path/to/Haproxy-conf.yaml
</code>

== HAProxy cu SSL Passthrough și Mapări Dinamice Layer 7 ==
[[File:haproxyLayer7.png|782x616px|none|HAProxy Layer7]]

Acest scenariu avansat descrie configurarea HAProxy ca un "Router Layer 7 (Content-Based Switch)". Această arhitectură permite consolidarea mai multor domenii și subdomenii complet diferite pe un singur IP public extern, rutând traficul dinamic către mașini virtuale (backend-uri) separate, fără ca HAProxy să decripteze traficul SSL/TLS (SSL Passthrough).

=== Configurare Frontend-uri și Backend-uri Modulare ===

Fișierele sunt stocate modular în directorul inclus secundar (`conf.d/`).

==== Configurare Frontend ====

Fișierele sunt stocate modular în directorul inclus secundar (`conf.d/`).

<code class="mw-code mw-highlight plainlinks" style="display:block"> # nano /etc/haproxy/conf.d/websites.cfg
 
 # FRONTEND HTTP - Port 80 (Cu suport ACME Challenge integrat dinamic)
 
 frontend fe_http
 bind *:80
 mode http
 
 # Extrage stringul curat al domeniului (taie portul :80 trimis de unele browsere)
 http-request set-var(txn.backend) req.hdr(host),field(1,:),lower,map(/etc/haproxy/maps/web-http.map)
 
 # Detecție trafic ACME Challenge (Let's Encrypt / ISPConfig)
 acl is_acme path_beg /.well-known/acme-challenge/
 
 # Securitate: Blocare 403 dacă domeniul nu există în map ȘI nu este o cerere ACME
 http-request deny deny_status 403 if ! { var(txn.backend) -m found } !is_acme
 
 # Rutare: Trimite către backend-ul identificat în map
 use_backend %[var(txn.backend)] if { var(txn.backend) -m found }
 
 # Fallback obligatoriu pentru procesarea automată a certificatelor ACME generate în ISPConfig
 default_backend be_vm1_http
 
 # FRONTEND HTTPS - Port 443 (SSL Passthrough transparent pe bază de SNI)
 
 frontend fe_https
 bind *:443
 mode tcp
 
 # Inspectează pachetele inițiale TCP pentru a citi header-ul TLS nesecurizat
 tcp-request inspect-delay 5s
 tcp-request content accept if { req.ssl_hello_type 1 }
 
 # Rutare Layer 4 bazată pe SNI-ul extras din handshake-ul TLS potrivit în map-ul HTTPS
 use_backend %[req.ssl_sni,lower,map(/etc/haproxy/maps/web-https.map)]
 
 # Dacă domeniul accesat prin TLS nu există în map, conexiunea este respinsă direct
 default_backend be_https_deny
 
</code>

==== Configurare Backend ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> # nano /etc/haproxy/conf.d/websites.cfg
 
 # DEFINIRE BACKEND-URI SERVERE VIRTUALE
 
 # BACKEND-URI VM1 (192.168.14.11)
 backend be_vm1_http
 mode http
 server vm1_web 192.168.14.11:80 check
 
 backend be_vm1_https
 mode tcp
 server vm1_ssl 192.168.14.11:443 check
 
 # BACKEND-URI VM2 (192.168.14.22)
 backend be_vm2_http
 mode http
 server vm2_web 192.168.14.22:80 check
 
 backend be_vm2_https
 mode tcp
 server vm2_ssl 192.168.14.22:443 check
 
 # BACKEND-URI VM3 (192.168.14.33)
 backend be_vm3_http
 mode http
 server vm3_web 192.168.14.33:80 check
 
 backend be_vm3_https
 mode tcp
 server vm3_ssl 192.168.14.33:443 check
 
 # BACKEND SIGURANȚĂ (DENY)
 backend be_https_deny
 mode tcp
</code>

=== Structură Fișiere Mapare Dinamică ===

Pentru a evita modificarea continuă a fișierului principal de configurare la adăugarea de noi domenii, folosim fișiere de mapare de tip cheie-valoare (*.map).

==== Fișier Mapare HTTP (Port 80) ====
<code class="mw-code mw-highlight plainlinks" style="display:block"> # nano /etc/haproxy/maps/web-http.map
 # VM1 - 192.168.1.11
 domeniu.eu be_vm1_http
 sub.domeniu.eu be_vm1_http
 # VM2 - 192.168.1.22
 domeniu.com be_vm2_http
 sub.domeniu.com be_vm2_http
 # VM3 - 192.168.1.33
 domeniu.ro be_vm3_http
 sub.domeniu.ro be_vm3_http
</code>

==== Fișier Mapare HTTPS (Port 443) ====
<code class="mw-code mw-highlight plainlinks" style="display:block"> # nano /etc/haproxy/maps/web-https.map
 # VM1 - 192.168.1.11
 domeniu.eu be_vm1_https
 sub.domeniu.eu be_vm1_https
 # VM2 - 192.168.1.22
 domeniu.com be_vm2_https
 sub.domeniu.com be_vm2_https
 # VM3 - 192.168.1.33
 domeniu.ro be_vm3_https
 sub.domeniu.ro be_vm3_https
</code>

=== Integrare Modulară în Systemd (conf.d) ===

Pentru ca HAProxy să încarce automat toate fișierele de configurare din directorul secundar <tt>conf.d/</tt>, trebuie modificat scriptul de pornire al serviciului în Systemd.

==== Modificarea fișierului de serviciu ====

Caută linia implicită de pornire și comenteaz-o
Adaugă direct sub ea noua instrucțiune care include ambele căi de configurare ("haproxy.cfg" și directorul "conf.d/").

<code class="mw-code mw-highlight plainlinks" style="display:block"> # nano /usr/lib/systemd/system/haproxy.service
 
 # ExecStart=/usr/sbin/haproxy -Ws -f $CONFIG -p $PIDFILE $EXTRAOPTS
 ExecStart=/usr/sbin/haproxy -Ws -f /etc/haproxy/haproxy.cfg -f /etc/haproxy/conf.d/ -p /run/haproxy.pid
</code>

==== Reîncărcarea și Aplicarea Modificărilor ====
<code class="mw-code mw-highlight plainlinks" style="display:block"> # systemctl daemon-reload
 # systemctl restart haproxy
</code>

==== Managementul Configurării ====

Unul dintre marile avantaje ale acestei arhitecturi este capacitatea de a aplica modificări fără a întrerupe sesiunile HTTP/HTTPS active ale utilizatorilor (Zero-Downtime).

<code class="mw-code mw-highlight plainlinks" style="display:block"> # haproxy -c -f /etc/haproxy/haproxy.cfg -f /etc/haproxy/conf.d/ # Validarea sintaxei
 # systemctl reload haproxy # Reîncărcarea serviciului cu noua configurare
</code>

== HAProxy pentru Baze de Date (MySQL / MariaDB) ==

Această secțiune descrie configurarea HAProxy în Modul TCP (Layer 4) pentru baze de date. Deoarece MySQL/MariaDB folosește un protocol binar propriu, HAProxy nu va inspecta conținutul pachetelor, ci doar va ruta conexiunile la nivel de port.

=== Prerechizite: Utilizatorul de Health Check ===

Pentru ca HAProxy să poată verifica dacă serverele MySQL sunt "vii" (fără a deschide doar portul TCP orbește), trebuie creat un utilizator fără parole și fără privilegii pe serverul de baze de date.

<code class="mw-code mw-highlight plainlinks" style="display:block"> CREATE USER 'haproxy_check'@'IP_SERVER_HAPROXY';
 FLUSH PRIVILEGES;
</code>
Se execută pe Master (dacă replicarea este pornită).

=== Replicare Master/Slave ===
[[File:HaproxySQL_MS.png|782x616px|none|HAProxy Master-Slave]]

Destinat infrastructurilor clasice Master/Slave. Aplicația folosește un singur punct de conexiune (db.domeniu.lan:3306). HAProxy trimite tot traficul către Master, în timp ce Slave-ul stă în așteptare (backup) și preia automat activitatea doar dacă Masterul intră în crash.

<code class="mw-code mw-highlight plainlinks" style="display:block">''' # nano /etc/haproxy/haproxy.cfg'''
 
 # FRONTEND DATABASE (Master/Slave)
 frontend fe_mysql_master_slave
 bind *:3306
 mode tcp
 default_backend be_mysql_master_slave
 
 # BACKEND DATABASE (Master/Slave)
 backend be_mysql_master_slave
 mode tcp
 balance leastconn
 option mysql-check user haproxy_check
 
 # Serverul Master - preia 100% din trafic în mod normal
 server dbm 192.168.14.11:3306 check on-marked-down shutdown-sessions
 
 # Serverul Slave - preia traficul DOAR dacă dbm devine offline
 server dbs 192.168.14.22:3306 check backup
</code>

* mode tcp - Obligatoriu pentru baze de date. Suprascrie modul HTTP implicit.
* balance leastconn - Direcționează conexiunile noi către nodul cu cele mai puține sesiuni active.
* option mysql-check user ... - Interoghează nativ serverul MySQL pentru a-i verifica starea.
* on-marked-down shutdown-sessions - Dacă Masterul pică testul de sănătate, HAProxy taie instant toate conexiunile active/persistente din pool, forțând aplicația să se mute imediat pe Slave-ul de backup.
* backup - Marchează serverul ca pasiv. Nu primește trafic atât timp cât nodul principal este online.

HAProxy

2026-11-01T00:54:40Z

Wikiadmin: /* Replicare Master/Slave */

== HAProxy - Load Balancing Standard (Grup Unic Backend) ==
[[File:HAProxy.png|782x616px|none|HAProxy]]
=== Instalare HAProxy ===
La instalare HAProxy activează serviciul systemd.
<code class="mw-code mw-highlight plainlinks" style="display:block"> # apt -y install haproxy
</code>

=== Structura fișierului de configurare ===

Fișierul principal:
<code class="mw-code mw-highlight plainlinks" style="display:block"> # nano /etc/haproxy/haproxy.cfg
</code>

Configurația este împărțită în:
* global – setări pentru procesul HAProxy
* defaults – setări implicite pentru toate secțiunile
* frontend – puncte de intrare pentru trafic
* backend – serverele către care se trimite traficul

==== Secțiunea global ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> global
 log /dev/log local0
 log /dev/log local1 notice
 maxconn 4096
 user haproxy
 group haproxy
 daemon
</code>

* log /dev/log local0 – trimite logurile către syslog.
* log /dev/log local1 notice – al doilea canal de log, nivel minim notice.
* maxconn 4096 – număr maxim de conexiuni simultane.
* user/group haproxy – rulează cu userul de sistem haproxy.
* daemon – rulează în background.

==== Secțiunea defaults ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> defaults
 log global
 mode http
 option httplog
 option dontlognull
 timeout connect 5s
 timeout client 30s
 timeout server 30s
</code>
* log global – folosește setările din secțiunea global.
* mode http – modul implicit pentru frontend/backend.*
* option httplog – loguri detaliate HTTP.
* option dontlognull – nu loghează conexiuni goale.
* timeout connect/client/server – limite de timp pentru conexiuni.
 * Dacă un frontend sau backend are propriul mode (ex: mode tcp), acesta suprascrie automat valoarea din defaults

==== Frontend HTTP (port 80) ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> frontend http_in
 bind *:80
 mode http
 option forwardfor
 default_backend http_webserver
</code>

* bind *:80 – ascultă pe portul 80.
* mode http – procesează header-ele HTTP.
* option forwardfor – adaugă X‑Forwarded‑For cu IP-ul real al clientului.
* default_backend http_webserver – trimite traficul către backend-ul HTTP.

==== Backend HTTP ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> backend http_webserver
 mode http
 balance leastconn
 option httpchk GET /
 server vm01 192.168.14.11:80 check
 server vm02 192.168.14.22:80 check
 server vm03 192.168.14.33:80 check
</code>

* mode http – backend-ul procesează HTTP.
* balance leastconn – trimite traficul către serverul cu cele mai puține conexiuni active.
* option httpchk GET / – health-check HTTP.
* server vm01/vm02/vm03 – cele trei VM.

=== HTTPS (port 443) cu SSL Termination în HAProxy ===

În această situaţie HAProxy gestionează certificatul.

==== Generare certificat Let’s Encrypt ====

Necesită port 80 public și domeniu valid. 
Certbot, în modul --standalone, pornește un mini‑webserver intern pe portul 80 pentru a răspunde la challenge-ul HTTP‑01 de la Let’s Encrypt. 
Dacă HAProxy este pornit, acesta ocupă portul 80 și Certbot nu poate porni serverul de validare, ceea ce duce la eșecul generării certificatului.

'''Instalare certbot'''

<code class="mw-code mw-highlight plainlinks" style="display:block"> apt -y install certbot
</code>

'''Oprire temporară HAProxy'''

<code class="mw-code mw-highlight plainlinks" style="display:block"> systemctl stop haproxy
</code>

'''Generare certificat'''

<code class="mw-code mw-highlight plainlinks" style="display:block"> certbot certonly --standalone -d wiki.stradivart.ro
</code>

'''Creare fișier PEM pentru HAProxy'''

<code class="mw-code mw-highlight plainlinks" style="display:block"> # mkdir -p /etc/haproxy/certs
 # cat /etc/letsencrypt/live/wiki.stradivart.ro/fullchain.pem \
 /etc/letsencrypt/live/wiki.stradivart.ro/privkey.pem \
 > /etc/haproxy/certs/wiki.stradivart.ro.pem
 # chmod 600 /etc/haproxy/certs/wiki.stradivart.ro.pem
</code>

==== Frontend HTTPS (SSL termination) ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> frontend https_in
 bind *:443 ssl crt /etc/haproxy/certs/wiki.stradivart.ro.pem
 mode http
 option forwardfor
 default_backend http_webserver
</code>
* *bind :443 ssl crt ... – HAProxy decriptează SSL.
* mode http – traficul devine HTTP după terminarea SSL.
* default_backend http_webserver – backend-ul HTTP unic.

==== Backend HTTPS (SSL termination) ====

În cazul SSL termination, backend-ul nu procesează trafic HTTPS. 
HAProxy decriptează SSL în frontend, iar backend-ul primește trafic HTTP normal (non‑SSL). 
De aceea backend-ul este identic cu backend-ul HTTP.

<code class="mw-code mw-highlight plainlinks" style="display:block"> backend http_webserver
 mode http
 balance leastconn
 option httpchk GET /
 server vm01 192.168.14.11:80 check
 server vm02 192.168.14.22:80 check
 server vm03 192.168.14.33:80 check
</code>

* mode http – backend-ul procesează HTTP.
* balance leastconn – trimite traficul către serverul cu cele mai puține conexiuni active.
* option httpchk GET / – health-check HTTP.
* server vm01/vm02/vm03 – cele trei VM.

=== HTTPS (port 443) cu SSL Passthrough ===

Webserver-ul gestionează certificatul. HAProxy doar forward-ează pachetele SSL.

==== Frontend HTTPS (SSL passthrough) ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> frontend https_in
 bind *:443
 mode tcp
 default_backend httpS_webserver
</code>

* *bind :443 – ascultă pe portul 443.
* mode tcp – HAProxy nu decriptează SSL.
* default_backend httpS_webserver – backend separat în modul TCP.

==== Backend HTTPS (SSL passthrough) ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> backend httpS_webserver
 mode tcp
 balance leastconn
 server vm01 192.168.14.11:443 check
 server vm02 192.168.14.22:443 check
 server vm03 192.168.14.33:443 check
</code>

* mode tcp – forward transparent al pachetelor SSL.
* balance leastconn – distribuție inteligentă.
* server vm01/vm02/vm03 – VM-urile ISPConfig.

=== Frontend HTTP (port 80) - ACME Challenge ===

Această secțiune descrie configurarea HAProxy pentru a permite generarea certificatelor Let’s Encrypt în ISPConfig atunci când HAProxy funcționează în modul SSL Passthrough.
Pentru validarea HTTP‑01, traficul către /.well-known/acme-challenge/ trebuie direcționat către backend-ul HTTP al ISPConfig.

==== Frontend HTTP (ACME Challenge Forwarding) ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> frontend http_in
 bind *:80
 mode http
 acl letsencrypt-acl path_beg /.well-known/acme-challenge/
 use_backend letsencrypt-backend if letsencrypt-acl
 default_backend ispconfig_http
</code>

* acl letsencrypt-acl path_beg - detectăm cererile ACME challenge
* use_backend - Forward ACME challenge către backend-ul dedicat
* default_backend - Restul traficului HTTP merge către backend-ul HTTP normal

==== Backend HTTP (ACME Challenge Forwarding) ====

Backend dedicat pentru Let’s Encrypt.
Acesta trebuie să trimită cererile către portul 80 al serverrelor ISPConfig.

<code class="mw-code mw-highlight plainlinks" style="display:block"> backend letsencrypt-backend
 mode http
 server isp1 192.168.14.11:80 check
 server isp2 192.168.14.22:80 check
 server isp3 192.168.14.33:80 check
</code>

==== Backend HTTP (trafic normal) ====

Backend-ul standard pentru HTTP (port 80), folosit pentru redirectări, panel ISPConfig, sau site-uri HTTP.

<code class="mw-code mw-highlight plainlinks" style="display:block"> backend ispconfig_http
 mode http
 balance roundrobin
 option httpchk GET /
 server isp1 192.168.14.11:80 check
 server isp2 192.168.14.22:80 check
 server isp3 192.168.14.33:80 check
</code>

=== Pagina de statistici HAProxy ===

<code class="mw-code mw-highlight plainlinks" style="display:block"> listen stats
 bind *:9000
 mode http
 stats enable
 stats uri /stats
 stats refresh 5s
 stats auth admin:pass123
</code>

* *bind :9000 – port dedicat pentru statistici.
* stats uri /stats – URL-ul paginii.
* stats auth – autentificare basic HTTP.

==== Accesare pagina de statistici ====
http://192.168.14.123:9000/stats

[[File:HAProxy stats.png|782x616px|none|HAProxy_stats]]

==== Ansible playbook pentru configurare ====

===== Fişiere necesare =====

{| class="responsive-three-cols"
|-
| class="col" style="vertical-align:middle; text-align:center; padding:15px;" |

[[File:Filethumb.png|thumb|right|link=Media:Inventory.ini|Descarcă fișierul de inventar si variabile]]

| class="col" style="vertical-align:middle; text-align:center; padding:15px;" |

[[File:Filethumb.png|thumb|right|link=Media:Haproxy.yaml|Descarcă fișierul de instalare și configurare iniţială]]

| class="col" style="vertical-align:middle; text-align:center; padding:15px;" |

[[File:Filethumb.png|thumb|right|link=Media:Haproxy-conf.yaml|Descarcă fișierul de actualizare a configurării]]

|}

===== Instalarea HAProxy si configurarea primului frontend şi backend =====

<code class="mw-code mw-highlight plainlinks" style="display:block"> # ansible-playbook -i /path/to/Inventory.ini /path/to/Haproxy.yaml
</code>

===== Confingurarea frontend şi backend pentru HAProxy =====

<code class="mw-code mw-highlight plainlinks" style="display:block"> # ansible-playbook -i /path/to/Inventory.ini /path/to/Haproxy-conf.yaml
</code>

== HAProxy cu SSL Passthrough și Mapări Dinamice Layer 7 ==
[[File:haproxyLayer7.png|782x616px|none|HAProxy Layer7]]

Acest scenariu avansat descrie configurarea HAProxy ca un "Router Layer 7 (Content-Based Switch)". Această arhitectură permite consolidarea mai multor domenii și subdomenii complet diferite pe un singur IP public extern, rutând traficul dinamic către mașini virtuale (backend-uri) separate, fără ca HAProxy să decripteze traficul SSL/TLS (SSL Passthrough).

=== Configurare Frontend-uri și Backend-uri Modulare ===

Fișierele sunt stocate modular în directorul inclus secundar (`conf.d/`).

==== Configurare Frontend ====

Fișierele sunt stocate modular în directorul inclus secundar (`conf.d/`).

<code class="mw-code mw-highlight plainlinks" style="display:block"> # nano /etc/haproxy/conf.d/websites.cfg
 
 # FRONTEND HTTP - Port 80 (Cu suport ACME Challenge integrat dinamic)
 
 frontend fe_http
 bind *:80
 mode http
 
 # Extrage stringul curat al domeniului (taie portul :80 trimis de unele browsere)
 http-request set-var(txn.backend) req.hdr(host),field(1,:),lower,map(/etc/haproxy/maps/web-http.map)
 
 # Detecție trafic ACME Challenge (Let's Encrypt / ISPConfig)
 acl is_acme path_beg /.well-known/acme-challenge/
 
 # Securitate: Blocare 403 dacă domeniul nu există în map ȘI nu este o cerere ACME
 http-request deny deny_status 403 if ! { var(txn.backend) -m found } !is_acme
 
 # Rutare: Trimite către backend-ul identificat în map
 use_backend %[var(txn.backend)] if { var(txn.backend) -m found }
 
 # Fallback obligatoriu pentru procesarea automată a certificatelor ACME generate în ISPConfig
 default_backend be_vm1_http
 
 # FRONTEND HTTPS - Port 443 (SSL Passthrough transparent pe bază de SNI)
 
 frontend fe_https
 bind *:443
 mode tcp
 
 # Inspectează pachetele inițiale TCP pentru a citi header-ul TLS nesecurizat
 tcp-request inspect-delay 5s
 tcp-request content accept if { req.ssl_hello_type 1 }
 
 # Rutare Layer 4 bazată pe SNI-ul extras din handshake-ul TLS potrivit în map-ul HTTPS
 use_backend %[req.ssl_sni,lower,map(/etc/haproxy/maps/web-https.map)]
 
 # Dacă domeniul accesat prin TLS nu există în map, conexiunea este respinsă direct
 default_backend be_https_deny
 
</code>

==== Configurare Backend ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> # nano /etc/haproxy/conf.d/websites.cfg
 
 # DEFINIRE BACKEND-URI SERVERE VIRTUALE
 
 # BACKEND-URI VM1 (192.168.14.11)
 backend be_vm1_http
 mode http
 server vm1_web 192.168.14.11:80 check
 
 backend be_vm1_https
 mode tcp
 server vm1_ssl 192.168.14.11:443 check
 
 # BACKEND-URI VM2 (192.168.14.22)
 backend be_vm2_http
 mode http
 server vm2_web 192.168.14.22:80 check
 
 backend be_vm2_https
 mode tcp
 server vm2_ssl 192.168.14.22:443 check
 
 # BACKEND-URI VM3 (192.168.14.33)
 backend be_vm3_http
 mode http
 server vm3_web 192.168.14.33:80 check
 
 backend be_vm3_https
 mode tcp
 server vm3_ssl 192.168.14.33:443 check
 
 # BACKEND SIGURANȚĂ (DENY)
 backend be_https_deny
 mode tcp
</code>

=== Structură Fișiere Mapare Dinamică ===

Pentru a evita modificarea continuă a fișierului principal de configurare la adăugarea de noi domenii, folosim fișiere de mapare de tip cheie-valoare (*.map).

==== Fișier Mapare HTTP (Port 80) ====
<code class="mw-code mw-highlight plainlinks" style="display:block"> # nano /etc/haproxy/maps/web-http.map
 # VM1 - 192.168.1.11
 domeniu.eu be_vm1_http
 sub.domeniu.eu be_vm1_http
 # VM2 - 192.168.1.22
 domeniu.com be_vm2_http
 sub.domeniu.com be_vm2_http
 # VM3 - 192.168.1.33
 domeniu.ro be_vm3_http
 sub.domeniu.ro be_vm3_http
</code>

==== Fișier Mapare HTTPS (Port 443) ====
<code class="mw-code mw-highlight plainlinks" style="display:block"> # nano /etc/haproxy/maps/web-https.map
 # VM1 - 192.168.1.11
 domeniu.eu be_vm1_https
 sub.domeniu.eu be_vm1_https
 # VM2 - 192.168.1.22
 domeniu.com be_vm2_https
 sub.domeniu.com be_vm2_https
 # VM3 - 192.168.1.33
 domeniu.ro be_vm3_https
 sub.domeniu.ro be_vm3_https
</code>

=== Integrare Modulară în Systemd (conf.d) ===

Pentru ca HAProxy să încarce automat toate fișierele de configurare din directorul secundar <tt>conf.d/</tt>, trebuie modificat scriptul de pornire al serviciului în Systemd.

==== Modificarea fișierului de serviciu ====

Caută linia implicită de pornire și comenteaz-o
Adaugă direct sub ea noua instrucțiune care include ambele căi de configurare ("haproxy.cfg" și directorul "conf.d/").

<code class="mw-code mw-highlight plainlinks" style="display:block"> # nano /usr/lib/systemd/system/haproxy.service
 
 # ExecStart=/usr/sbin/haproxy -Ws -f $CONFIG -p $PIDFILE $EXTRAOPTS
 ExecStart=/usr/sbin/haproxy -Ws -f /etc/haproxy/haproxy.cfg -f /etc/haproxy/conf.d/ -p /run/haproxy.pid
</code>

==== Reîncărcarea și Aplicarea Modificărilor ====
<code class="mw-code mw-highlight plainlinks" style="display:block"> # systemctl daemon-reload
 # systemctl restart haproxy
</code>

==== Managementul Configurării ====

Unul dintre marile avantaje ale acestei arhitecturi este capacitatea de a aplica modificări fără a întrerupe sesiunile HTTP/HTTPS active ale utilizatorilor (Zero-Downtime).

<code class="mw-code mw-highlight plainlinks" style="display:block"> # haproxy -c -f /etc/haproxy/haproxy.cfg -f /etc/haproxy/conf.d/ # Validarea sintaxei
 # systemctl reload haproxy # Reîncărcarea serviciului cu noua configurare
</code>

== HAProxy pentru Baze de Date (MySQL / MariaDB) ==

Această secțiune descrie configurarea HAProxy în Modul TCP (Layer 4) pentru baze de date. Deoarece MySQL/MariaDB folosește un protocol binar propriu, HAProxy nu va inspecta conținutul pachetelor, ci doar va ruta conexiunile la nivel de port.

=== Prerechizite: Utilizatorul de Health Check ===

Pentru ca HAProxy să poată verifica dacă serverele MySQL sunt "vii" (fără a deschide doar portul TCP orbește), trebuie creat un utilizator fără parole și fără privilegii pe serverul de baze de date.

<code class="mw-code mw-highlight plainlinks" style="display:block"> CREATE USER 'haproxy_check'@'IP_SERVER_HAPROXY';
 FLUSH PRIVILEGES;
</code>
Se execută pe Master (dacă replicarea este pornită).

=== Replicare Master/Slave ===
[[File:HaproxySQL_MS.png|782x616px|none|HAProxy Master-Slave]]

Destinat infrastructurilor clasice Master/Slave. Aplicația folosește un singur punct de conexiune (db.domeniu.lan:3306). HAProxy trimite tot traficul către Master, în timp ce Slave-ul stă în așteptare (backup) și preia automat activitatea doar dacă Masterul intră în crash.

<code class="mw-code mw-highlight plainlinks" style="display:block">''' # nano /etc/haproxy/haproxy.cfg'''
 
 # FRONTEND DATABASE (Master/Slave)
 frontend fe_mysql_master_slave
 bind *:3306
 mode tcp
 default_backend be_mysql_master_slave
 
 # BACKEND DATABASE (Master/Slave)
 backend be_mysql_master_slave
 mode tcp
 balance leastconn
 option mysql-check user haproxy_check
 
 # Serverul Master - preia 100% din trafic în mod normal
 server dbm 192.168.14.11:3306 check on-marked-down shutdown-sessions
 
 # Serverul Slave - preia traficul DOAR dacă dbm devine offline
 server dbs 192.168.14.22:3306 check backup
</code>

* mode tcp – Obligatoriu pentru baze de date. Suprascrie modul HTTP implicit.
* balance leastconn – Direcționează conexiunile noi către nodul cu cele mai puține sesiuni active.
* option mysql-check user ... – Interoghează nativ serverul MySQL pentru a-i verifica starea.
* on-marked-down shutdown-sessions – Dacă Masterul pică testul de sănătate, HAProxy taie instant toate conexiunile active/persistente din pool, forțând aplicația să se mute imediat pe Slave-ul de backup.
* backup – Marchează serverul ca pasiv. Nu primește trafic atât timp cât nodul principal este online.

HAProxy

2026-11-01T00:53:25Z

Wikiadmin: /* Replicare Master/Slave */

== HAProxy - Load Balancing Standard (Grup Unic Backend) ==
[[File:HAProxy.png|782x616px|none|HAProxy]]
=== Instalare HAProxy ===
La instalare HAProxy activează serviciul systemd.
<code class="mw-code mw-highlight plainlinks" style="display:block"> # apt -y install haproxy
</code>

=== Structura fișierului de configurare ===

Fișierul principal:
<code class="mw-code mw-highlight plainlinks" style="display:block"> # nano /etc/haproxy/haproxy.cfg
</code>

Configurația este împărțită în:
* global – setări pentru procesul HAProxy
* defaults – setări implicite pentru toate secțiunile
* frontend – puncte de intrare pentru trafic
* backend – serverele către care se trimite traficul

==== Secțiunea global ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> global
 log /dev/log local0
 log /dev/log local1 notice
 maxconn 4096
 user haproxy
 group haproxy
 daemon
</code>

* log /dev/log local0 – trimite logurile către syslog.
* log /dev/log local1 notice – al doilea canal de log, nivel minim notice.
* maxconn 4096 – număr maxim de conexiuni simultane.
* user/group haproxy – rulează cu userul de sistem haproxy.
* daemon – rulează în background.

==== Secțiunea defaults ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> defaults
 log global
 mode http
 option httplog
 option dontlognull
 timeout connect 5s
 timeout client 30s
 timeout server 30s
</code>
* log global – folosește setările din secțiunea global.
* mode http – modul implicit pentru frontend/backend.*
* option httplog – loguri detaliate HTTP.
* option dontlognull – nu loghează conexiuni goale.
* timeout connect/client/server – limite de timp pentru conexiuni.
 * Dacă un frontend sau backend are propriul mode (ex: mode tcp), acesta suprascrie automat valoarea din defaults

==== Frontend HTTP (port 80) ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> frontend http_in
 bind *:80
 mode http
 option forwardfor
 default_backend http_webserver
</code>

* bind *:80 – ascultă pe portul 80.
* mode http – procesează header-ele HTTP.
* option forwardfor – adaugă X‑Forwarded‑For cu IP-ul real al clientului.
* default_backend http_webserver – trimite traficul către backend-ul HTTP.

==== Backend HTTP ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> backend http_webserver
 mode http
 balance leastconn
 option httpchk GET /
 server vm01 192.168.14.11:80 check
 server vm02 192.168.14.22:80 check
 server vm03 192.168.14.33:80 check
</code>

* mode http – backend-ul procesează HTTP.
* balance leastconn – trimite traficul către serverul cu cele mai puține conexiuni active.
* option httpchk GET / – health-check HTTP.
* server vm01/vm02/vm03 – cele trei VM.

=== HTTPS (port 443) cu SSL Termination în HAProxy ===

În această situaţie HAProxy gestionează certificatul.

==== Generare certificat Let’s Encrypt ====

Necesită port 80 public și domeniu valid. 
Certbot, în modul --standalone, pornește un mini‑webserver intern pe portul 80 pentru a răspunde la challenge-ul HTTP‑01 de la Let’s Encrypt. 
Dacă HAProxy este pornit, acesta ocupă portul 80 și Certbot nu poate porni serverul de validare, ceea ce duce la eșecul generării certificatului.

'''Instalare certbot'''

<code class="mw-code mw-highlight plainlinks" style="display:block"> apt -y install certbot
</code>

'''Oprire temporară HAProxy'''

<code class="mw-code mw-highlight plainlinks" style="display:block"> systemctl stop haproxy
</code>

'''Generare certificat'''

<code class="mw-code mw-highlight plainlinks" style="display:block"> certbot certonly --standalone -d wiki.stradivart.ro
</code>

'''Creare fișier PEM pentru HAProxy'''

<code class="mw-code mw-highlight plainlinks" style="display:block"> # mkdir -p /etc/haproxy/certs
 # cat /etc/letsencrypt/live/wiki.stradivart.ro/fullchain.pem \
 /etc/letsencrypt/live/wiki.stradivart.ro/privkey.pem \
 > /etc/haproxy/certs/wiki.stradivart.ro.pem
 # chmod 600 /etc/haproxy/certs/wiki.stradivart.ro.pem
</code>

==== Frontend HTTPS (SSL termination) ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> frontend https_in
 bind *:443 ssl crt /etc/haproxy/certs/wiki.stradivart.ro.pem
 mode http
 option forwardfor
 default_backend http_webserver
</code>
* *bind :443 ssl crt ... – HAProxy decriptează SSL.
* mode http – traficul devine HTTP după terminarea SSL.
* default_backend http_webserver – backend-ul HTTP unic.

==== Backend HTTPS (SSL termination) ====

În cazul SSL termination, backend-ul nu procesează trafic HTTPS. 
HAProxy decriptează SSL în frontend, iar backend-ul primește trafic HTTP normal (non‑SSL). 
De aceea backend-ul este identic cu backend-ul HTTP.

<code class="mw-code mw-highlight plainlinks" style="display:block"> backend http_webserver
 mode http
 balance leastconn
 option httpchk GET /
 server vm01 192.168.14.11:80 check
 server vm02 192.168.14.22:80 check
 server vm03 192.168.14.33:80 check
</code>

* mode http – backend-ul procesează HTTP.
* balance leastconn – trimite traficul către serverul cu cele mai puține conexiuni active.
* option httpchk GET / – health-check HTTP.
* server vm01/vm02/vm03 – cele trei VM.

=== HTTPS (port 443) cu SSL Passthrough ===

Webserver-ul gestionează certificatul. HAProxy doar forward-ează pachetele SSL.

==== Frontend HTTPS (SSL passthrough) ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> frontend https_in
 bind *:443
 mode tcp
 default_backend httpS_webserver
</code>

* *bind :443 – ascultă pe portul 443.
* mode tcp – HAProxy nu decriptează SSL.
* default_backend httpS_webserver – backend separat în modul TCP.

==== Backend HTTPS (SSL passthrough) ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> backend httpS_webserver
 mode tcp
 balance leastconn
 server vm01 192.168.14.11:443 check
 server vm02 192.168.14.22:443 check
 server vm03 192.168.14.33:443 check
</code>

* mode tcp – forward transparent al pachetelor SSL.
* balance leastconn – distribuție inteligentă.
* server vm01/vm02/vm03 – VM-urile ISPConfig.

=== Frontend HTTP (port 80) - ACME Challenge ===

Această secțiune descrie configurarea HAProxy pentru a permite generarea certificatelor Let’s Encrypt în ISPConfig atunci când HAProxy funcționează în modul SSL Passthrough.
Pentru validarea HTTP‑01, traficul către /.well-known/acme-challenge/ trebuie direcționat către backend-ul HTTP al ISPConfig.

==== Frontend HTTP (ACME Challenge Forwarding) ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> frontend http_in
 bind *:80
 mode http
 acl letsencrypt-acl path_beg /.well-known/acme-challenge/
 use_backend letsencrypt-backend if letsencrypt-acl
 default_backend ispconfig_http
</code>

* acl letsencrypt-acl path_beg - detectăm cererile ACME challenge
* use_backend - Forward ACME challenge către backend-ul dedicat
* default_backend - Restul traficului HTTP merge către backend-ul HTTP normal

==== Backend HTTP (ACME Challenge Forwarding) ====

Backend dedicat pentru Let’s Encrypt.
Acesta trebuie să trimită cererile către portul 80 al serverrelor ISPConfig.

<code class="mw-code mw-highlight plainlinks" style="display:block"> backend letsencrypt-backend
 mode http
 server isp1 192.168.14.11:80 check
 server isp2 192.168.14.22:80 check
 server isp3 192.168.14.33:80 check
</code>

==== Backend HTTP (trafic normal) ====

Backend-ul standard pentru HTTP (port 80), folosit pentru redirectări, panel ISPConfig, sau site-uri HTTP.

<code class="mw-code mw-highlight plainlinks" style="display:block"> backend ispconfig_http
 mode http
 balance roundrobin
 option httpchk GET /
 server isp1 192.168.14.11:80 check
 server isp2 192.168.14.22:80 check
 server isp3 192.168.14.33:80 check
</code>

=== Pagina de statistici HAProxy ===

<code class="mw-code mw-highlight plainlinks" style="display:block"> listen stats
 bind *:9000
 mode http
 stats enable
 stats uri /stats
 stats refresh 5s
 stats auth admin:pass123
</code>

* *bind :9000 – port dedicat pentru statistici.
* stats uri /stats – URL-ul paginii.
* stats auth – autentificare basic HTTP.

==== Accesare pagina de statistici ====
http://192.168.14.123:9000/stats

[[File:HAProxy stats.png|782x616px|none|HAProxy_stats]]

==== Ansible playbook pentru configurare ====

===== Fişiere necesare =====

{| class="responsive-three-cols"
|-
| class="col" style="vertical-align:middle; text-align:center; padding:15px;" |

[[File:Filethumb.png|thumb|right|link=Media:Inventory.ini|Descarcă fișierul de inventar si variabile]]

| class="col" style="vertical-align:middle; text-align:center; padding:15px;" |

[[File:Filethumb.png|thumb|right|link=Media:Haproxy.yaml|Descarcă fișierul de instalare și configurare iniţială]]

| class="col" style="vertical-align:middle; text-align:center; padding:15px;" |

[[File:Filethumb.png|thumb|right|link=Media:Haproxy-conf.yaml|Descarcă fișierul de actualizare a configurării]]

|}

===== Instalarea HAProxy si configurarea primului frontend şi backend =====

<code class="mw-code mw-highlight plainlinks" style="display:block"> # ansible-playbook -i /path/to/Inventory.ini /path/to/Haproxy.yaml
</code>

===== Confingurarea frontend şi backend pentru HAProxy =====

<code class="mw-code mw-highlight plainlinks" style="display:block"> # ansible-playbook -i /path/to/Inventory.ini /path/to/Haproxy-conf.yaml
</code>

== HAProxy cu SSL Passthrough și Mapări Dinamice Layer 7 ==
[[File:haproxyLayer7.png|782x616px|none|HAProxy Layer7]]

Acest scenariu avansat descrie configurarea HAProxy ca un "Router Layer 7 (Content-Based Switch)". Această arhitectură permite consolidarea mai multor domenii și subdomenii complet diferite pe un singur IP public extern, rutând traficul dinamic către mașini virtuale (backend-uri) separate, fără ca HAProxy să decripteze traficul SSL/TLS (SSL Passthrough).

=== Configurare Frontend-uri și Backend-uri Modulare ===

Fișierele sunt stocate modular în directorul inclus secundar (`conf.d/`).

==== Configurare Frontend ====

Fișierele sunt stocate modular în directorul inclus secundar (`conf.d/`).

<code class="mw-code mw-highlight plainlinks" style="display:block"> # nano /etc/haproxy/conf.d/websites.cfg
 
 # FRONTEND HTTP - Port 80 (Cu suport ACME Challenge integrat dinamic)
 
 frontend fe_http
 bind *:80
 mode http
 
 # Extrage stringul curat al domeniului (taie portul :80 trimis de unele browsere)
 http-request set-var(txn.backend) req.hdr(host),field(1,:),lower,map(/etc/haproxy/maps/web-http.map)
 
 # Detecție trafic ACME Challenge (Let's Encrypt / ISPConfig)
 acl is_acme path_beg /.well-known/acme-challenge/
 
 # Securitate: Blocare 403 dacă domeniul nu există în map ȘI nu este o cerere ACME
 http-request deny deny_status 403 if ! { var(txn.backend) -m found } !is_acme
 
 # Rutare: Trimite către backend-ul identificat în map
 use_backend %[var(txn.backend)] if { var(txn.backend) -m found }
 
 # Fallback obligatoriu pentru procesarea automată a certificatelor ACME generate în ISPConfig
 default_backend be_vm1_http
 
 # FRONTEND HTTPS - Port 443 (SSL Passthrough transparent pe bază de SNI)
 
 frontend fe_https
 bind *:443
 mode tcp
 
 # Inspectează pachetele inițiale TCP pentru a citi header-ul TLS nesecurizat
 tcp-request inspect-delay 5s
 tcp-request content accept if { req.ssl_hello_type 1 }
 
 # Rutare Layer 4 bazată pe SNI-ul extras din handshake-ul TLS potrivit în map-ul HTTPS
 use_backend %[req.ssl_sni,lower,map(/etc/haproxy/maps/web-https.map)]
 
 # Dacă domeniul accesat prin TLS nu există în map, conexiunea este respinsă direct
 default_backend be_https_deny
 
</code>

==== Configurare Backend ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> # nano /etc/haproxy/conf.d/websites.cfg
 
 # DEFINIRE BACKEND-URI SERVERE VIRTUALE
 
 # BACKEND-URI VM1 (192.168.14.11)
 backend be_vm1_http
 mode http
 server vm1_web 192.168.14.11:80 check
 
 backend be_vm1_https
 mode tcp
 server vm1_ssl 192.168.14.11:443 check
 
 # BACKEND-URI VM2 (192.168.14.22)
 backend be_vm2_http
 mode http
 server vm2_web 192.168.14.22:80 check
 
 backend be_vm2_https
 mode tcp
 server vm2_ssl 192.168.14.22:443 check
 
 # BACKEND-URI VM3 (192.168.14.33)
 backend be_vm3_http
 mode http
 server vm3_web 192.168.14.33:80 check
 
 backend be_vm3_https
 mode tcp
 server vm3_ssl 192.168.14.33:443 check
 
 # BACKEND SIGURANȚĂ (DENY)
 backend be_https_deny
 mode tcp
</code>

=== Structură Fișiere Mapare Dinamică ===

Pentru a evita modificarea continuă a fișierului principal de configurare la adăugarea de noi domenii, folosim fișiere de mapare de tip cheie-valoare (*.map).

==== Fișier Mapare HTTP (Port 80) ====
<code class="mw-code mw-highlight plainlinks" style="display:block"> # nano /etc/haproxy/maps/web-http.map
 # VM1 - 192.168.1.11
 domeniu.eu be_vm1_http
 sub.domeniu.eu be_vm1_http
 # VM2 - 192.168.1.22
 domeniu.com be_vm2_http
 sub.domeniu.com be_vm2_http
 # VM3 - 192.168.1.33
 domeniu.ro be_vm3_http
 sub.domeniu.ro be_vm3_http
</code>

==== Fișier Mapare HTTPS (Port 443) ====
<code class="mw-code mw-highlight plainlinks" style="display:block"> # nano /etc/haproxy/maps/web-https.map
 # VM1 - 192.168.1.11
 domeniu.eu be_vm1_https
 sub.domeniu.eu be_vm1_https
 # VM2 - 192.168.1.22
 domeniu.com be_vm2_https
 sub.domeniu.com be_vm2_https
 # VM3 - 192.168.1.33
 domeniu.ro be_vm3_https
 sub.domeniu.ro be_vm3_https
</code>

=== Integrare Modulară în Systemd (conf.d) ===

Pentru ca HAProxy să încarce automat toate fișierele de configurare din directorul secundar <tt>conf.d/</tt>, trebuie modificat scriptul de pornire al serviciului în Systemd.

==== Modificarea fișierului de serviciu ====

Caută linia implicită de pornire și comenteaz-o
Adaugă direct sub ea noua instrucțiune care include ambele căi de configurare ("haproxy.cfg" și directorul "conf.d/").

<code class="mw-code mw-highlight plainlinks" style="display:block"> # nano /usr/lib/systemd/system/haproxy.service
 
 # ExecStart=/usr/sbin/haproxy -Ws -f $CONFIG -p $PIDFILE $EXTRAOPTS
 ExecStart=/usr/sbin/haproxy -Ws -f /etc/haproxy/haproxy.cfg -f /etc/haproxy/conf.d/ -p /run/haproxy.pid
</code>

==== Reîncărcarea și Aplicarea Modificărilor ====
<code class="mw-code mw-highlight plainlinks" style="display:block"> # systemctl daemon-reload
 # systemctl restart haproxy
</code>

==== Managementul Configurării ====

Unul dintre marile avantaje ale acestei arhitecturi este capacitatea de a aplica modificări fără a întrerupe sesiunile HTTP/HTTPS active ale utilizatorilor (Zero-Downtime).

<code class="mw-code mw-highlight plainlinks" style="display:block"> # haproxy -c -f /etc/haproxy/haproxy.cfg -f /etc/haproxy/conf.d/ # Validarea sintaxei
 # systemctl reload haproxy # Reîncărcarea serviciului cu noua configurare
</code>

== HAProxy pentru Baze de Date (MySQL / MariaDB) ==

Această secțiune descrie configurarea HAProxy în Modul TCP (Layer 4) pentru baze de date. Deoarece MySQL/MariaDB folosește un protocol binar propriu, HAProxy nu va inspecta conținutul pachetelor, ci doar va ruta conexiunile la nivel de port.

=== Prerechizite: Utilizatorul de Health Check ===

Pentru ca HAProxy să poată verifica dacă serverele MySQL sunt "vii" (fără a deschide doar portul TCP orbește), trebuie creat un utilizator fără parole și fără privilegii pe serverul de baze de date.

<code class="mw-code mw-highlight plainlinks" style="display:block"> CREATE USER 'haproxy_check'@'IP_SERVER_HAPROXY';
 FLUSH PRIVILEGES;
</code>
Se execută pe Master (dacă replicarea este pornită).

=== Replicare Master/Slave ===
[[File:HaproxySQL_MS.png|782x616px|none|HAProxy Master-Slave]]

Destinat infrastructurilor clasice Master/Slave. Aplicația folosește un singur punct de conexiune (db.domeniu.lan:3306). HAProxy trimite tot traficul către Master, în timp ce Slave-ul stă în așteptare (backup) și preia automat activitatea doar dacă Masterul intră în crash.

<code class="mw-code mw-highlight plainlinks" style="display:block">''' # nano /etc/haproxy/haproxy.cfg'''
 
 # FRONTEND DATABASE (Master/Slave)
 frontend fe_mysql_master_slave
 bind *:3306
 mode tcp
 default_backend be_mysql_master_slave
 
 # BACKEND DATABASE (Master/Slave)
 backend be_mysql_master_slave
 mode tcp
 balance leastconn
 option mysql-check user haproxy_check
 
 # Serverul Master - preia 100% din trafic în mod normal
 server dbm 192.168.14.11:3306 check on-marked-down shutdown-sessions
 
 # Serverul Slave - preia traficul DOAR dacă mdb devine offline
 server dbs 192.168.14.22:3306 check backup
</code>

HAProxy

2026-11-01T00:53:04Z

Wikiadmin: /* Replicare Master/Slave */

== HAProxy - Load Balancing Standard (Grup Unic Backend) ==
[[File:HAProxy.png|782x616px|none|HAProxy]]
=== Instalare HAProxy ===
La instalare HAProxy activează serviciul systemd.
<code class="mw-code mw-highlight plainlinks" style="display:block"> # apt -y install haproxy
</code>

=== Structura fișierului de configurare ===

Fișierul principal:
<code class="mw-code mw-highlight plainlinks" style="display:block"> # nano /etc/haproxy/haproxy.cfg
</code>

Configurația este împărțită în:
* global – setări pentru procesul HAProxy
* defaults – setări implicite pentru toate secțiunile
* frontend – puncte de intrare pentru trafic
* backend – serverele către care se trimite traficul

==== Secțiunea global ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> global
 log /dev/log local0
 log /dev/log local1 notice
 maxconn 4096
 user haproxy
 group haproxy
 daemon
</code>

* log /dev/log local0 – trimite logurile către syslog.
* log /dev/log local1 notice – al doilea canal de log, nivel minim notice.
* maxconn 4096 – număr maxim de conexiuni simultane.
* user/group haproxy – rulează cu userul de sistem haproxy.
* daemon – rulează în background.

==== Secțiunea defaults ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> defaults
 log global
 mode http
 option httplog
 option dontlognull
 timeout connect 5s
 timeout client 30s
 timeout server 30s
</code>
* log global – folosește setările din secțiunea global.
* mode http – modul implicit pentru frontend/backend.*
* option httplog – loguri detaliate HTTP.
* option dontlognull – nu loghează conexiuni goale.
* timeout connect/client/server – limite de timp pentru conexiuni.
 * Dacă un frontend sau backend are propriul mode (ex: mode tcp), acesta suprascrie automat valoarea din defaults

==== Frontend HTTP (port 80) ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> frontend http_in
 bind *:80
 mode http
 option forwardfor
 default_backend http_webserver
</code>

* bind *:80 – ascultă pe portul 80.
* mode http – procesează header-ele HTTP.
* option forwardfor – adaugă X‑Forwarded‑For cu IP-ul real al clientului.
* default_backend http_webserver – trimite traficul către backend-ul HTTP.

==== Backend HTTP ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> backend http_webserver
 mode http
 balance leastconn
 option httpchk GET /
 server vm01 192.168.14.11:80 check
 server vm02 192.168.14.22:80 check
 server vm03 192.168.14.33:80 check
</code>

* mode http – backend-ul procesează HTTP.
* balance leastconn – trimite traficul către serverul cu cele mai puține conexiuni active.
* option httpchk GET / – health-check HTTP.
* server vm01/vm02/vm03 – cele trei VM.

=== HTTPS (port 443) cu SSL Termination în HAProxy ===

În această situaţie HAProxy gestionează certificatul.

==== Generare certificat Let’s Encrypt ====

Necesită port 80 public și domeniu valid. 
Certbot, în modul --standalone, pornește un mini‑webserver intern pe portul 80 pentru a răspunde la challenge-ul HTTP‑01 de la Let’s Encrypt. 
Dacă HAProxy este pornit, acesta ocupă portul 80 și Certbot nu poate porni serverul de validare, ceea ce duce la eșecul generării certificatului.

'''Instalare certbot'''

<code class="mw-code mw-highlight plainlinks" style="display:block"> apt -y install certbot
</code>

'''Oprire temporară HAProxy'''

<code class="mw-code mw-highlight plainlinks" style="display:block"> systemctl stop haproxy
</code>

'''Generare certificat'''

<code class="mw-code mw-highlight plainlinks" style="display:block"> certbot certonly --standalone -d wiki.stradivart.ro
</code>

'''Creare fișier PEM pentru HAProxy'''

<code class="mw-code mw-highlight plainlinks" style="display:block"> # mkdir -p /etc/haproxy/certs
 # cat /etc/letsencrypt/live/wiki.stradivart.ro/fullchain.pem \
 /etc/letsencrypt/live/wiki.stradivart.ro/privkey.pem \
 > /etc/haproxy/certs/wiki.stradivart.ro.pem
 # chmod 600 /etc/haproxy/certs/wiki.stradivart.ro.pem
</code>

==== Frontend HTTPS (SSL termination) ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> frontend https_in
 bind *:443 ssl crt /etc/haproxy/certs/wiki.stradivart.ro.pem
 mode http
 option forwardfor
 default_backend http_webserver
</code>
* *bind :443 ssl crt ... – HAProxy decriptează SSL.
* mode http – traficul devine HTTP după terminarea SSL.
* default_backend http_webserver – backend-ul HTTP unic.

==== Backend HTTPS (SSL termination) ====

În cazul SSL termination, backend-ul nu procesează trafic HTTPS. 
HAProxy decriptează SSL în frontend, iar backend-ul primește trafic HTTP normal (non‑SSL). 
De aceea backend-ul este identic cu backend-ul HTTP.

<code class="mw-code mw-highlight plainlinks" style="display:block"> backend http_webserver
 mode http
 balance leastconn
 option httpchk GET /
 server vm01 192.168.14.11:80 check
 server vm02 192.168.14.22:80 check
 server vm03 192.168.14.33:80 check
</code>

* mode http – backend-ul procesează HTTP.
* balance leastconn – trimite traficul către serverul cu cele mai puține conexiuni active.
* option httpchk GET / – health-check HTTP.
* server vm01/vm02/vm03 – cele trei VM.

=== HTTPS (port 443) cu SSL Passthrough ===

Webserver-ul gestionează certificatul. HAProxy doar forward-ează pachetele SSL.

==== Frontend HTTPS (SSL passthrough) ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> frontend https_in
 bind *:443
 mode tcp
 default_backend httpS_webserver
</code>

* *bind :443 – ascultă pe portul 443.
* mode tcp – HAProxy nu decriptează SSL.
* default_backend httpS_webserver – backend separat în modul TCP.

==== Backend HTTPS (SSL passthrough) ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> backend httpS_webserver
 mode tcp
 balance leastconn
 server vm01 192.168.14.11:443 check
 server vm02 192.168.14.22:443 check
 server vm03 192.168.14.33:443 check
</code>

* mode tcp – forward transparent al pachetelor SSL.
* balance leastconn – distribuție inteligentă.
* server vm01/vm02/vm03 – VM-urile ISPConfig.

=== Frontend HTTP (port 80) - ACME Challenge ===

Această secțiune descrie configurarea HAProxy pentru a permite generarea certificatelor Let’s Encrypt în ISPConfig atunci când HAProxy funcționează în modul SSL Passthrough.
Pentru validarea HTTP‑01, traficul către /.well-known/acme-challenge/ trebuie direcționat către backend-ul HTTP al ISPConfig.

==== Frontend HTTP (ACME Challenge Forwarding) ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> frontend http_in
 bind *:80
 mode http
 acl letsencrypt-acl path_beg /.well-known/acme-challenge/
 use_backend letsencrypt-backend if letsencrypt-acl
 default_backend ispconfig_http
</code>

* acl letsencrypt-acl path_beg - detectăm cererile ACME challenge
* use_backend - Forward ACME challenge către backend-ul dedicat
* default_backend - Restul traficului HTTP merge către backend-ul HTTP normal

==== Backend HTTP (ACME Challenge Forwarding) ====

Backend dedicat pentru Let’s Encrypt.
Acesta trebuie să trimită cererile către portul 80 al serverrelor ISPConfig.

<code class="mw-code mw-highlight plainlinks" style="display:block"> backend letsencrypt-backend
 mode http
 server isp1 192.168.14.11:80 check
 server isp2 192.168.14.22:80 check
 server isp3 192.168.14.33:80 check
</code>

==== Backend HTTP (trafic normal) ====

Backend-ul standard pentru HTTP (port 80), folosit pentru redirectări, panel ISPConfig, sau site-uri HTTP.

<code class="mw-code mw-highlight plainlinks" style="display:block"> backend ispconfig_http
 mode http
 balance roundrobin
 option httpchk GET /
 server isp1 192.168.14.11:80 check
 server isp2 192.168.14.22:80 check
 server isp3 192.168.14.33:80 check
</code>

=== Pagina de statistici HAProxy ===

<code class="mw-code mw-highlight plainlinks" style="display:block"> listen stats
 bind *:9000
 mode http
 stats enable
 stats uri /stats
 stats refresh 5s
 stats auth admin:pass123
</code>

* *bind :9000 – port dedicat pentru statistici.
* stats uri /stats – URL-ul paginii.
* stats auth – autentificare basic HTTP.

==== Accesare pagina de statistici ====
http://192.168.14.123:9000/stats

[[File:HAProxy stats.png|782x616px|none|HAProxy_stats]]

==== Ansible playbook pentru configurare ====

===== Fişiere necesare =====

{| class="responsive-three-cols"
|-
| class="col" style="vertical-align:middle; text-align:center; padding:15px;" |

[[File:Filethumb.png|thumb|right|link=Media:Inventory.ini|Descarcă fișierul de inventar si variabile]]

| class="col" style="vertical-align:middle; text-align:center; padding:15px;" |

[[File:Filethumb.png|thumb|right|link=Media:Haproxy.yaml|Descarcă fișierul de instalare și configurare iniţială]]

| class="col" style="vertical-align:middle; text-align:center; padding:15px;" |

[[File:Filethumb.png|thumb|right|link=Media:Haproxy-conf.yaml|Descarcă fișierul de actualizare a configurării]]

|}

===== Instalarea HAProxy si configurarea primului frontend şi backend =====

<code class="mw-code mw-highlight plainlinks" style="display:block"> # ansible-playbook -i /path/to/Inventory.ini /path/to/Haproxy.yaml
</code>

===== Confingurarea frontend şi backend pentru HAProxy =====

<code class="mw-code mw-highlight plainlinks" style="display:block"> # ansible-playbook -i /path/to/Inventory.ini /path/to/Haproxy-conf.yaml
</code>

== HAProxy cu SSL Passthrough și Mapări Dinamice Layer 7 ==
[[File:haproxyLayer7.png|782x616px|none|HAProxy Layer7]]

Acest scenariu avansat descrie configurarea HAProxy ca un "Router Layer 7 (Content-Based Switch)". Această arhitectură permite consolidarea mai multor domenii și subdomenii complet diferite pe un singur IP public extern, rutând traficul dinamic către mașini virtuale (backend-uri) separate, fără ca HAProxy să decripteze traficul SSL/TLS (SSL Passthrough).

=== Configurare Frontend-uri și Backend-uri Modulare ===

Fișierele sunt stocate modular în directorul inclus secundar (`conf.d/`).

==== Configurare Frontend ====

Fișierele sunt stocate modular în directorul inclus secundar (`conf.d/`).

<code class="mw-code mw-highlight plainlinks" style="display:block"> # nano /etc/haproxy/conf.d/websites.cfg
 
 # FRONTEND HTTP - Port 80 (Cu suport ACME Challenge integrat dinamic)
 
 frontend fe_http
 bind *:80
 mode http
 
 # Extrage stringul curat al domeniului (taie portul :80 trimis de unele browsere)
 http-request set-var(txn.backend) req.hdr(host),field(1,:),lower,map(/etc/haproxy/maps/web-http.map)
 
 # Detecție trafic ACME Challenge (Let's Encrypt / ISPConfig)
 acl is_acme path_beg /.well-known/acme-challenge/
 
 # Securitate: Blocare 403 dacă domeniul nu există în map ȘI nu este o cerere ACME
 http-request deny deny_status 403 if ! { var(txn.backend) -m found } !is_acme
 
 # Rutare: Trimite către backend-ul identificat în map
 use_backend %[var(txn.backend)] if { var(txn.backend) -m found }
 
 # Fallback obligatoriu pentru procesarea automată a certificatelor ACME generate în ISPConfig
 default_backend be_vm1_http
 
 # FRONTEND HTTPS - Port 443 (SSL Passthrough transparent pe bază de SNI)
 
 frontend fe_https
 bind *:443
 mode tcp
 
 # Inspectează pachetele inițiale TCP pentru a citi header-ul TLS nesecurizat
 tcp-request inspect-delay 5s
 tcp-request content accept if { req.ssl_hello_type 1 }
 
 # Rutare Layer 4 bazată pe SNI-ul extras din handshake-ul TLS potrivit în map-ul HTTPS
 use_backend %[req.ssl_sni,lower,map(/etc/haproxy/maps/web-https.map)]
 
 # Dacă domeniul accesat prin TLS nu există în map, conexiunea este respinsă direct
 default_backend be_https_deny
 
</code>

==== Configurare Backend ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> # nano /etc/haproxy/conf.d/websites.cfg
 
 # DEFINIRE BACKEND-URI SERVERE VIRTUALE
 
 # BACKEND-URI VM1 (192.168.14.11)
 backend be_vm1_http
 mode http
 server vm1_web 192.168.14.11:80 check
 
 backend be_vm1_https
 mode tcp
 server vm1_ssl 192.168.14.11:443 check
 
 # BACKEND-URI VM2 (192.168.14.22)
 backend be_vm2_http
 mode http
 server vm2_web 192.168.14.22:80 check
 
 backend be_vm2_https
 mode tcp
 server vm2_ssl 192.168.14.22:443 check
 
 # BACKEND-URI VM3 (192.168.14.33)
 backend be_vm3_http
 mode http
 server vm3_web 192.168.14.33:80 check
 
 backend be_vm3_https
 mode tcp
 server vm3_ssl 192.168.14.33:443 check
 
 # BACKEND SIGURANȚĂ (DENY)
 backend be_https_deny
 mode tcp
</code>

=== Structură Fișiere Mapare Dinamică ===

Pentru a evita modificarea continuă a fișierului principal de configurare la adăugarea de noi domenii, folosim fișiere de mapare de tip cheie-valoare (*.map).

==== Fișier Mapare HTTP (Port 80) ====
<code class="mw-code mw-highlight plainlinks" style="display:block"> # nano /etc/haproxy/maps/web-http.map
 # VM1 - 192.168.1.11
 domeniu.eu be_vm1_http
 sub.domeniu.eu be_vm1_http
 # VM2 - 192.168.1.22
 domeniu.com be_vm2_http
 sub.domeniu.com be_vm2_http
 # VM3 - 192.168.1.33
 domeniu.ro be_vm3_http
 sub.domeniu.ro be_vm3_http
</code>

==== Fișier Mapare HTTPS (Port 443) ====
<code class="mw-code mw-highlight plainlinks" style="display:block"> # nano /etc/haproxy/maps/web-https.map
 # VM1 - 192.168.1.11
 domeniu.eu be_vm1_https
 sub.domeniu.eu be_vm1_https
 # VM2 - 192.168.1.22
 domeniu.com be_vm2_https
 sub.domeniu.com be_vm2_https
 # VM3 - 192.168.1.33
 domeniu.ro be_vm3_https
 sub.domeniu.ro be_vm3_https
</code>

=== Integrare Modulară în Systemd (conf.d) ===

Pentru ca HAProxy să încarce automat toate fișierele de configurare din directorul secundar <tt>conf.d/</tt>, trebuie modificat scriptul de pornire al serviciului în Systemd.

==== Modificarea fișierului de serviciu ====

Caută linia implicită de pornire și comenteaz-o
Adaugă direct sub ea noua instrucțiune care include ambele căi de configurare ("haproxy.cfg" și directorul "conf.d/").

<code class="mw-code mw-highlight plainlinks" style="display:block"> # nano /usr/lib/systemd/system/haproxy.service
 
 # ExecStart=/usr/sbin/haproxy -Ws -f $CONFIG -p $PIDFILE $EXTRAOPTS
 ExecStart=/usr/sbin/haproxy -Ws -f /etc/haproxy/haproxy.cfg -f /etc/haproxy/conf.d/ -p /run/haproxy.pid
</code>

==== Reîncărcarea și Aplicarea Modificărilor ====
<code class="mw-code mw-highlight plainlinks" style="display:block"> # systemctl daemon-reload
 # systemctl restart haproxy
</code>

==== Managementul Configurării ====

Unul dintre marile avantaje ale acestei arhitecturi este capacitatea de a aplica modificări fără a întrerupe sesiunile HTTP/HTTPS active ale utilizatorilor (Zero-Downtime).

<code class="mw-code mw-highlight plainlinks" style="display:block"> # haproxy -c -f /etc/haproxy/haproxy.cfg -f /etc/haproxy/conf.d/ # Validarea sintaxei
 # systemctl reload haproxy # Reîncărcarea serviciului cu noua configurare
</code>

== HAProxy pentru Baze de Date (MySQL / MariaDB) ==

Această secțiune descrie configurarea HAProxy în Modul TCP (Layer 4) pentru baze de date. Deoarece MySQL/MariaDB folosește un protocol binar propriu, HAProxy nu va inspecta conținutul pachetelor, ci doar va ruta conexiunile la nivel de port.

=== Prerechizite: Utilizatorul de Health Check ===

Pentru ca HAProxy să poată verifica dacă serverele MySQL sunt "vii" (fără a deschide doar portul TCP orbește), trebuie creat un utilizator fără parole și fără privilegii pe serverul de baze de date.

<code class="mw-code mw-highlight plainlinks" style="display:block"> CREATE USER 'haproxy_check'@'IP_SERVER_HAPROXY';
 FLUSH PRIVILEGES;
</code>
Se execută pe Master (dacă replicarea este pornită).

=== Replicare Master/Slave ===
[[File:HaproxySQL_MS.png|782x616px|none|HAProxy Master-Slave]]

Destinat infrastructurilor clasice Master/Slave. Aplicația folosește un singur punct de conexiune (db.domeniu.lan:3306). HAProxy trimite tot traficul către Master, în timp ce Slave-ul stă în așteptare (backup) și preia automat activitatea doar dacă Masterul intră în crash.

<code class="mw-code mw-highlight plainlinks" style="display:block"> # nano /etc/haproxy/haproxy.cfg
 
 # FRONTEND DATABASE (Master/Slave)
 frontend fe_mysql_master_slave
 bind *:3306
 mode tcp
 default_backend be_mysql_master_slave
 
 # BACKEND DATABASE (Master/Slave)
 backend be_mysql_master_slave
 mode tcp
 balance leastconn
 option mysql-check user haproxy_check
 
 # Serverul Master - preia 100% din trafic în mod normal
 server dbm 192.168.14.11:3306 check on-marked-down shutdown-sessions
 
 # Serverul Slave - preia traficul DOAR dacă mdb devine offline
 server dbs 192.168.14.22:3306 check backup
</code>

HAProxy

2026-11-01T00:52:28Z

Wikiadmin: /* Replicare Master/Slave */

== HAProxy - Load Balancing Standard (Grup Unic Backend) ==
[[File:HAProxy.png|782x616px|none|HAProxy]]
=== Instalare HAProxy ===
La instalare HAProxy activează serviciul systemd.
<code class="mw-code mw-highlight plainlinks" style="display:block"> # apt -y install haproxy
</code>

=== Structura fișierului de configurare ===

Fișierul principal:
<code class="mw-code mw-highlight plainlinks" style="display:block"> # nano /etc/haproxy/haproxy.cfg
</code>

Configurația este împărțită în:
* global – setări pentru procesul HAProxy
* defaults – setări implicite pentru toate secțiunile
* frontend – puncte de intrare pentru trafic
* backend – serverele către care se trimite traficul

==== Secțiunea global ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> global
 log /dev/log local0
 log /dev/log local1 notice
 maxconn 4096
 user haproxy
 group haproxy
 daemon
</code>

* log /dev/log local0 – trimite logurile către syslog.
* log /dev/log local1 notice – al doilea canal de log, nivel minim notice.
* maxconn 4096 – număr maxim de conexiuni simultane.
* user/group haproxy – rulează cu userul de sistem haproxy.
* daemon – rulează în background.

==== Secțiunea defaults ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> defaults
 log global
 mode http
 option httplog
 option dontlognull
 timeout connect 5s
 timeout client 30s
 timeout server 30s
</code>
* log global – folosește setările din secțiunea global.
* mode http – modul implicit pentru frontend/backend.*
* option httplog – loguri detaliate HTTP.
* option dontlognull – nu loghează conexiuni goale.
* timeout connect/client/server – limite de timp pentru conexiuni.
 * Dacă un frontend sau backend are propriul mode (ex: mode tcp), acesta suprascrie automat valoarea din defaults

==== Frontend HTTP (port 80) ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> frontend http_in
 bind *:80
 mode http
 option forwardfor
 default_backend http_webserver
</code>

* bind *:80 – ascultă pe portul 80.
* mode http – procesează header-ele HTTP.
* option forwardfor – adaugă X‑Forwarded‑For cu IP-ul real al clientului.
* default_backend http_webserver – trimite traficul către backend-ul HTTP.

==== Backend HTTP ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> backend http_webserver
 mode http
 balance leastconn
 option httpchk GET /
 server vm01 192.168.14.11:80 check
 server vm02 192.168.14.22:80 check
 server vm03 192.168.14.33:80 check
</code>

* mode http – backend-ul procesează HTTP.
* balance leastconn – trimite traficul către serverul cu cele mai puține conexiuni active.
* option httpchk GET / – health-check HTTP.
* server vm01/vm02/vm03 – cele trei VM.

=== HTTPS (port 443) cu SSL Termination în HAProxy ===

În această situaţie HAProxy gestionează certificatul.

==== Generare certificat Let’s Encrypt ====

Necesită port 80 public și domeniu valid. 
Certbot, în modul --standalone, pornește un mini‑webserver intern pe portul 80 pentru a răspunde la challenge-ul HTTP‑01 de la Let’s Encrypt. 
Dacă HAProxy este pornit, acesta ocupă portul 80 și Certbot nu poate porni serverul de validare, ceea ce duce la eșecul generării certificatului.

'''Instalare certbot'''

<code class="mw-code mw-highlight plainlinks" style="display:block"> apt -y install certbot
</code>

'''Oprire temporară HAProxy'''

<code class="mw-code mw-highlight plainlinks" style="display:block"> systemctl stop haproxy
</code>

'''Generare certificat'''

<code class="mw-code mw-highlight plainlinks" style="display:block"> certbot certonly --standalone -d wiki.stradivart.ro
</code>

'''Creare fișier PEM pentru HAProxy'''

<code class="mw-code mw-highlight plainlinks" style="display:block"> # mkdir -p /etc/haproxy/certs
 # cat /etc/letsencrypt/live/wiki.stradivart.ro/fullchain.pem \
 /etc/letsencrypt/live/wiki.stradivart.ro/privkey.pem \
 > /etc/haproxy/certs/wiki.stradivart.ro.pem
 # chmod 600 /etc/haproxy/certs/wiki.stradivart.ro.pem
</code>

==== Frontend HTTPS (SSL termination) ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> frontend https_in
 bind *:443 ssl crt /etc/haproxy/certs/wiki.stradivart.ro.pem
 mode http
 option forwardfor
 default_backend http_webserver
</code>
* *bind :443 ssl crt ... – HAProxy decriptează SSL.
* mode http – traficul devine HTTP după terminarea SSL.
* default_backend http_webserver – backend-ul HTTP unic.

==== Backend HTTPS (SSL termination) ====

În cazul SSL termination, backend-ul nu procesează trafic HTTPS. 
HAProxy decriptează SSL în frontend, iar backend-ul primește trafic HTTP normal (non‑SSL). 
De aceea backend-ul este identic cu backend-ul HTTP.

<code class="mw-code mw-highlight plainlinks" style="display:block"> backend http_webserver
 mode http
 balance leastconn
 option httpchk GET /
 server vm01 192.168.14.11:80 check
 server vm02 192.168.14.22:80 check
 server vm03 192.168.14.33:80 check
</code>

* mode http – backend-ul procesează HTTP.
* balance leastconn – trimite traficul către serverul cu cele mai puține conexiuni active.
* option httpchk GET / – health-check HTTP.
* server vm01/vm02/vm03 – cele trei VM.

=== HTTPS (port 443) cu SSL Passthrough ===

Webserver-ul gestionează certificatul. HAProxy doar forward-ează pachetele SSL.

==== Frontend HTTPS (SSL passthrough) ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> frontend https_in
 bind *:443
 mode tcp
 default_backend httpS_webserver
</code>

* *bind :443 – ascultă pe portul 443.
* mode tcp – HAProxy nu decriptează SSL.
* default_backend httpS_webserver – backend separat în modul TCP.

==== Backend HTTPS (SSL passthrough) ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> backend httpS_webserver
 mode tcp
 balance leastconn
 server vm01 192.168.14.11:443 check
 server vm02 192.168.14.22:443 check
 server vm03 192.168.14.33:443 check
</code>

* mode tcp – forward transparent al pachetelor SSL.
* balance leastconn – distribuție inteligentă.
* server vm01/vm02/vm03 – VM-urile ISPConfig.

=== Frontend HTTP (port 80) - ACME Challenge ===

Această secțiune descrie configurarea HAProxy pentru a permite generarea certificatelor Let’s Encrypt în ISPConfig atunci când HAProxy funcționează în modul SSL Passthrough.
Pentru validarea HTTP‑01, traficul către /.well-known/acme-challenge/ trebuie direcționat către backend-ul HTTP al ISPConfig.

==== Frontend HTTP (ACME Challenge Forwarding) ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> frontend http_in
 bind *:80
 mode http
 acl letsencrypt-acl path_beg /.well-known/acme-challenge/
 use_backend letsencrypt-backend if letsencrypt-acl
 default_backend ispconfig_http
</code>

* acl letsencrypt-acl path_beg - detectăm cererile ACME challenge
* use_backend - Forward ACME challenge către backend-ul dedicat
* default_backend - Restul traficului HTTP merge către backend-ul HTTP normal

==== Backend HTTP (ACME Challenge Forwarding) ====

Backend dedicat pentru Let’s Encrypt.
Acesta trebuie să trimită cererile către portul 80 al serverrelor ISPConfig.

<code class="mw-code mw-highlight plainlinks" style="display:block"> backend letsencrypt-backend
 mode http
 server isp1 192.168.14.11:80 check
 server isp2 192.168.14.22:80 check
 server isp3 192.168.14.33:80 check
</code>

==== Backend HTTP (trafic normal) ====

Backend-ul standard pentru HTTP (port 80), folosit pentru redirectări, panel ISPConfig, sau site-uri HTTP.

<code class="mw-code mw-highlight plainlinks" style="display:block"> backend ispconfig_http
 mode http
 balance roundrobin
 option httpchk GET /
 server isp1 192.168.14.11:80 check
 server isp2 192.168.14.22:80 check
 server isp3 192.168.14.33:80 check
</code>

=== Pagina de statistici HAProxy ===

<code class="mw-code mw-highlight plainlinks" style="display:block"> listen stats
 bind *:9000
 mode http
 stats enable
 stats uri /stats
 stats refresh 5s
 stats auth admin:pass123
</code>

* *bind :9000 – port dedicat pentru statistici.
* stats uri /stats – URL-ul paginii.
* stats auth – autentificare basic HTTP.

==== Accesare pagina de statistici ====
http://192.168.14.123:9000/stats

[[File:HAProxy stats.png|782x616px|none|HAProxy_stats]]

==== Ansible playbook pentru configurare ====

===== Fişiere necesare =====

{| class="responsive-three-cols"
|-
| class="col" style="vertical-align:middle; text-align:center; padding:15px;" |

[[File:Filethumb.png|thumb|right|link=Media:Inventory.ini|Descarcă fișierul de inventar si variabile]]

| class="col" style="vertical-align:middle; text-align:center; padding:15px;" |

[[File:Filethumb.png|thumb|right|link=Media:Haproxy.yaml|Descarcă fișierul de instalare și configurare iniţială]]

| class="col" style="vertical-align:middle; text-align:center; padding:15px;" |

[[File:Filethumb.png|thumb|right|link=Media:Haproxy-conf.yaml|Descarcă fișierul de actualizare a configurării]]

|}

===== Instalarea HAProxy si configurarea primului frontend şi backend =====

<code class="mw-code mw-highlight plainlinks" style="display:block"> # ansible-playbook -i /path/to/Inventory.ini /path/to/Haproxy.yaml
</code>

===== Confingurarea frontend şi backend pentru HAProxy =====

<code class="mw-code mw-highlight plainlinks" style="display:block"> # ansible-playbook -i /path/to/Inventory.ini /path/to/Haproxy-conf.yaml
</code>

== HAProxy cu SSL Passthrough și Mapări Dinamice Layer 7 ==
[[File:haproxyLayer7.png|782x616px|none|HAProxy Layer7]]

Acest scenariu avansat descrie configurarea HAProxy ca un "Router Layer 7 (Content-Based Switch)". Această arhitectură permite consolidarea mai multor domenii și subdomenii complet diferite pe un singur IP public extern, rutând traficul dinamic către mașini virtuale (backend-uri) separate, fără ca HAProxy să decripteze traficul SSL/TLS (SSL Passthrough).

=== Configurare Frontend-uri și Backend-uri Modulare ===

Fișierele sunt stocate modular în directorul inclus secundar (`conf.d/`).

==== Configurare Frontend ====

Fișierele sunt stocate modular în directorul inclus secundar (`conf.d/`).

<code class="mw-code mw-highlight plainlinks" style="display:block"> # nano /etc/haproxy/conf.d/websites.cfg
 
 # FRONTEND HTTP - Port 80 (Cu suport ACME Challenge integrat dinamic)
 
 frontend fe_http
 bind *:80
 mode http
 
 # Extrage stringul curat al domeniului (taie portul :80 trimis de unele browsere)
 http-request set-var(txn.backend) req.hdr(host),field(1,:),lower,map(/etc/haproxy/maps/web-http.map)
 
 # Detecție trafic ACME Challenge (Let's Encrypt / ISPConfig)
 acl is_acme path_beg /.well-known/acme-challenge/
 
 # Securitate: Blocare 403 dacă domeniul nu există în map ȘI nu este o cerere ACME
 http-request deny deny_status 403 if ! { var(txn.backend) -m found } !is_acme
 
 # Rutare: Trimite către backend-ul identificat în map
 use_backend %[var(txn.backend)] if { var(txn.backend) -m found }
 
 # Fallback obligatoriu pentru procesarea automată a certificatelor ACME generate în ISPConfig
 default_backend be_vm1_http
 
 # FRONTEND HTTPS - Port 443 (SSL Passthrough transparent pe bază de SNI)
 
 frontend fe_https
 bind *:443
 mode tcp
 
 # Inspectează pachetele inițiale TCP pentru a citi header-ul TLS nesecurizat
 tcp-request inspect-delay 5s
 tcp-request content accept if { req.ssl_hello_type 1 }
 
 # Rutare Layer 4 bazată pe SNI-ul extras din handshake-ul TLS potrivit în map-ul HTTPS
 use_backend %[req.ssl_sni,lower,map(/etc/haproxy/maps/web-https.map)]
 
 # Dacă domeniul accesat prin TLS nu există în map, conexiunea este respinsă direct
 default_backend be_https_deny
 
</code>

==== Configurare Backend ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> # nano /etc/haproxy/conf.d/websites.cfg
 
 # DEFINIRE BACKEND-URI SERVERE VIRTUALE
 
 # BACKEND-URI VM1 (192.168.14.11)
 backend be_vm1_http
 mode http
 server vm1_web 192.168.14.11:80 check
 
 backend be_vm1_https
 mode tcp
 server vm1_ssl 192.168.14.11:443 check
 
 # BACKEND-URI VM2 (192.168.14.22)
 backend be_vm2_http
 mode http
 server vm2_web 192.168.14.22:80 check
 
 backend be_vm2_https
 mode tcp
 server vm2_ssl 192.168.14.22:443 check
 
 # BACKEND-URI VM3 (192.168.14.33)
 backend be_vm3_http
 mode http
 server vm3_web 192.168.14.33:80 check
 
 backend be_vm3_https
 mode tcp
 server vm3_ssl 192.168.14.33:443 check
 
 # BACKEND SIGURANȚĂ (DENY)
 backend be_https_deny
 mode tcp
</code>

=== Structură Fișiere Mapare Dinamică ===

Pentru a evita modificarea continuă a fișierului principal de configurare la adăugarea de noi domenii, folosim fișiere de mapare de tip cheie-valoare (*.map).

==== Fișier Mapare HTTP (Port 80) ====
<code class="mw-code mw-highlight plainlinks" style="display:block"> # nano /etc/haproxy/maps/web-http.map
 # VM1 - 192.168.1.11
 domeniu.eu be_vm1_http
 sub.domeniu.eu be_vm1_http
 # VM2 - 192.168.1.22
 domeniu.com be_vm2_http
 sub.domeniu.com be_vm2_http
 # VM3 - 192.168.1.33
 domeniu.ro be_vm3_http
 sub.domeniu.ro be_vm3_http
</code>

==== Fișier Mapare HTTPS (Port 443) ====
<code class="mw-code mw-highlight plainlinks" style="display:block"> # nano /etc/haproxy/maps/web-https.map
 # VM1 - 192.168.1.11
 domeniu.eu be_vm1_https
 sub.domeniu.eu be_vm1_https
 # VM2 - 192.168.1.22
 domeniu.com be_vm2_https
 sub.domeniu.com be_vm2_https
 # VM3 - 192.168.1.33
 domeniu.ro be_vm3_https
 sub.domeniu.ro be_vm3_https
</code>

=== Integrare Modulară în Systemd (conf.d) ===

Pentru ca HAProxy să încarce automat toate fișierele de configurare din directorul secundar <tt>conf.d/</tt>, trebuie modificat scriptul de pornire al serviciului în Systemd.

==== Modificarea fișierului de serviciu ====

Caută linia implicită de pornire și comenteaz-o
Adaugă direct sub ea noua instrucțiune care include ambele căi de configurare ("haproxy.cfg" și directorul "conf.d/").

<code class="mw-code mw-highlight plainlinks" style="display:block"> # nano /usr/lib/systemd/system/haproxy.service
 
 # ExecStart=/usr/sbin/haproxy -Ws -f $CONFIG -p $PIDFILE $EXTRAOPTS
 ExecStart=/usr/sbin/haproxy -Ws -f /etc/haproxy/haproxy.cfg -f /etc/haproxy/conf.d/ -p /run/haproxy.pid
</code>

==== Reîncărcarea și Aplicarea Modificărilor ====
<code class="mw-code mw-highlight plainlinks" style="display:block"> # systemctl daemon-reload
 # systemctl restart haproxy
</code>

==== Managementul Configurării ====

Unul dintre marile avantaje ale acestei arhitecturi este capacitatea de a aplica modificări fără a întrerupe sesiunile HTTP/HTTPS active ale utilizatorilor (Zero-Downtime).

<code class="mw-code mw-highlight plainlinks" style="display:block"> # haproxy -c -f /etc/haproxy/haproxy.cfg -f /etc/haproxy/conf.d/ # Validarea sintaxei
 # systemctl reload haproxy # Reîncărcarea serviciului cu noua configurare
</code>

== HAProxy pentru Baze de Date (MySQL / MariaDB) ==

Această secțiune descrie configurarea HAProxy în Modul TCP (Layer 4) pentru baze de date. Deoarece MySQL/MariaDB folosește un protocol binar propriu, HAProxy nu va inspecta conținutul pachetelor, ci doar va ruta conexiunile la nivel de port.

=== Prerechizite: Utilizatorul de Health Check ===

Pentru ca HAProxy să poată verifica dacă serverele MySQL sunt "vii" (fără a deschide doar portul TCP orbește), trebuie creat un utilizator fără parole și fără privilegii pe serverul de baze de date.

<code class="mw-code mw-highlight plainlinks" style="display:block"> CREATE USER 'haproxy_check'@'IP_SERVER_HAPROXY';
 FLUSH PRIVILEGES;
</code>
Se execută pe Master (dacă replicarea este pornită).

=== Replicare Master/Slave ===
[[File:HaproxySQL_MS.png|782x616px|none|HAProxy Master-Slave]]

Destinat infrastructurilor clasice Master/Slave. Aplicația folosește un singur punct de conexiune (db.domeniu.lan:3306). HAProxy trimite tot traficul către Master, în timp ce Slave-ul stă în așteptare (backup) și preia automat activitatea doar dacă Masterul intră în crash.

<code class="mw-code mw-highlight plainlinks" style="display:block"> # nano /etc/haproxy/haproxy.cfg
 # FRONTEND DATABASE (Master/Slave)
 frontend fe_mysql_master_slave
 bind *:3306
 mode tcp
 default_backend be_mysql_master_slave
 
 # BACKEND DATABASE (Master/Slave)
 backend be_mysql_master_slave
 mode tcp
 balance leastconn
 option mysql-check user haproxy_check
 
 # Serverul Master - preia 100% din trafic în mod normal
 server dbm 192.168.14.11:3306 check on-marked-down shutdown-sessions
 
 # Serverul Slave - preia traficul DOAR dacă mdb devine offline
 server dbs 192.168.14.22:3306 check backup
</code>

HAProxy

2026-11-01T00:48:01Z

Wikiadmin: /* Prerechizite: Utilizatorul de Health Check */

== HAProxy - Load Balancing Standard (Grup Unic Backend) ==
[[File:HAProxy.png|782x616px|none|HAProxy]]
=== Instalare HAProxy ===
La instalare HAProxy activează serviciul systemd.
<code class="mw-code mw-highlight plainlinks" style="display:block"> # apt -y install haproxy
</code>

=== Structura fișierului de configurare ===

Fișierul principal:
<code class="mw-code mw-highlight plainlinks" style="display:block"> # nano /etc/haproxy/haproxy.cfg
</code>

Configurația este împărțită în:
* global – setări pentru procesul HAProxy
* defaults – setări implicite pentru toate secțiunile
* frontend – puncte de intrare pentru trafic
* backend – serverele către care se trimite traficul

==== Secțiunea global ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> global
 log /dev/log local0
 log /dev/log local1 notice
 maxconn 4096
 user haproxy
 group haproxy
 daemon
</code>

* log /dev/log local0 – trimite logurile către syslog.
* log /dev/log local1 notice – al doilea canal de log, nivel minim notice.
* maxconn 4096 – număr maxim de conexiuni simultane.
* user/group haproxy – rulează cu userul de sistem haproxy.
* daemon – rulează în background.

==== Secțiunea defaults ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> defaults
 log global
 mode http
 option httplog
 option dontlognull
 timeout connect 5s
 timeout client 30s
 timeout server 30s
</code>
* log global – folosește setările din secțiunea global.
* mode http – modul implicit pentru frontend/backend.*
* option httplog – loguri detaliate HTTP.
* option dontlognull – nu loghează conexiuni goale.
* timeout connect/client/server – limite de timp pentru conexiuni.
 * Dacă un frontend sau backend are propriul mode (ex: mode tcp), acesta suprascrie automat valoarea din defaults

==== Frontend HTTP (port 80) ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> frontend http_in
 bind *:80
 mode http
 option forwardfor
 default_backend http_webserver
</code>

* bind *:80 – ascultă pe portul 80.
* mode http – procesează header-ele HTTP.
* option forwardfor – adaugă X‑Forwarded‑For cu IP-ul real al clientului.
* default_backend http_webserver – trimite traficul către backend-ul HTTP.

==== Backend HTTP ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> backend http_webserver
 mode http
 balance leastconn
 option httpchk GET /
 server vm01 192.168.14.11:80 check
 server vm02 192.168.14.22:80 check
 server vm03 192.168.14.33:80 check
</code>

* mode http – backend-ul procesează HTTP.
* balance leastconn – trimite traficul către serverul cu cele mai puține conexiuni active.
* option httpchk GET / – health-check HTTP.
* server vm01/vm02/vm03 – cele trei VM.

=== HTTPS (port 443) cu SSL Termination în HAProxy ===

În această situaţie HAProxy gestionează certificatul.

==== Generare certificat Let’s Encrypt ====

Necesită port 80 public și domeniu valid. 
Certbot, în modul --standalone, pornește un mini‑webserver intern pe portul 80 pentru a răspunde la challenge-ul HTTP‑01 de la Let’s Encrypt. 
Dacă HAProxy este pornit, acesta ocupă portul 80 și Certbot nu poate porni serverul de validare, ceea ce duce la eșecul generării certificatului.

'''Instalare certbot'''

<code class="mw-code mw-highlight plainlinks" style="display:block"> apt -y install certbot
</code>

'''Oprire temporară HAProxy'''

<code class="mw-code mw-highlight plainlinks" style="display:block"> systemctl stop haproxy
</code>

'''Generare certificat'''

<code class="mw-code mw-highlight plainlinks" style="display:block"> certbot certonly --standalone -d wiki.stradivart.ro
</code>

'''Creare fișier PEM pentru HAProxy'''

<code class="mw-code mw-highlight plainlinks" style="display:block"> # mkdir -p /etc/haproxy/certs
 # cat /etc/letsencrypt/live/wiki.stradivart.ro/fullchain.pem \
 /etc/letsencrypt/live/wiki.stradivart.ro/privkey.pem \
 > /etc/haproxy/certs/wiki.stradivart.ro.pem
 # chmod 600 /etc/haproxy/certs/wiki.stradivart.ro.pem
</code>

==== Frontend HTTPS (SSL termination) ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> frontend https_in
 bind *:443 ssl crt /etc/haproxy/certs/wiki.stradivart.ro.pem
 mode http
 option forwardfor
 default_backend http_webserver
</code>
* *bind :443 ssl crt ... – HAProxy decriptează SSL.
* mode http – traficul devine HTTP după terminarea SSL.
* default_backend http_webserver – backend-ul HTTP unic.

==== Backend HTTPS (SSL termination) ====

În cazul SSL termination, backend-ul nu procesează trafic HTTPS. 
HAProxy decriptează SSL în frontend, iar backend-ul primește trafic HTTP normal (non‑SSL). 
De aceea backend-ul este identic cu backend-ul HTTP.

<code class="mw-code mw-highlight plainlinks" style="display:block"> backend http_webserver
 mode http
 balance leastconn
 option httpchk GET /
 server vm01 192.168.14.11:80 check
 server vm02 192.168.14.22:80 check
 server vm03 192.168.14.33:80 check
</code>

* mode http – backend-ul procesează HTTP.
* balance leastconn – trimite traficul către serverul cu cele mai puține conexiuni active.
* option httpchk GET / – health-check HTTP.
* server vm01/vm02/vm03 – cele trei VM.

=== HTTPS (port 443) cu SSL Passthrough ===

Webserver-ul gestionează certificatul. HAProxy doar forward-ează pachetele SSL.

==== Frontend HTTPS (SSL passthrough) ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> frontend https_in
 bind *:443
 mode tcp
 default_backend httpS_webserver
</code>

* *bind :443 – ascultă pe portul 443.
* mode tcp – HAProxy nu decriptează SSL.
* default_backend httpS_webserver – backend separat în modul TCP.

==== Backend HTTPS (SSL passthrough) ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> backend httpS_webserver
 mode tcp
 balance leastconn
 server vm01 192.168.14.11:443 check
 server vm02 192.168.14.22:443 check
 server vm03 192.168.14.33:443 check
</code>

* mode tcp – forward transparent al pachetelor SSL.
* balance leastconn – distribuție inteligentă.
* server vm01/vm02/vm03 – VM-urile ISPConfig.

=== Frontend HTTP (port 80) - ACME Challenge ===

Această secțiune descrie configurarea HAProxy pentru a permite generarea certificatelor Let’s Encrypt în ISPConfig atunci când HAProxy funcționează în modul SSL Passthrough.
Pentru validarea HTTP‑01, traficul către /.well-known/acme-challenge/ trebuie direcționat către backend-ul HTTP al ISPConfig.

==== Frontend HTTP (ACME Challenge Forwarding) ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> frontend http_in
 bind *:80
 mode http
 acl letsencrypt-acl path_beg /.well-known/acme-challenge/
 use_backend letsencrypt-backend if letsencrypt-acl
 default_backend ispconfig_http
</code>

* acl letsencrypt-acl path_beg - detectăm cererile ACME challenge
* use_backend - Forward ACME challenge către backend-ul dedicat
* default_backend - Restul traficului HTTP merge către backend-ul HTTP normal

==== Backend HTTP (ACME Challenge Forwarding) ====

Backend dedicat pentru Let’s Encrypt.
Acesta trebuie să trimită cererile către portul 80 al serverrelor ISPConfig.

<code class="mw-code mw-highlight plainlinks" style="display:block"> backend letsencrypt-backend
 mode http
 server isp1 192.168.14.11:80 check
 server isp2 192.168.14.22:80 check
 server isp3 192.168.14.33:80 check
</code>

==== Backend HTTP (trafic normal) ====

Backend-ul standard pentru HTTP (port 80), folosit pentru redirectări, panel ISPConfig, sau site-uri HTTP.

<code class="mw-code mw-highlight plainlinks" style="display:block"> backend ispconfig_http
 mode http
 balance roundrobin
 option httpchk GET /
 server isp1 192.168.14.11:80 check
 server isp2 192.168.14.22:80 check
 server isp3 192.168.14.33:80 check
</code>

=== Pagina de statistici HAProxy ===

<code class="mw-code mw-highlight plainlinks" style="display:block"> listen stats
 bind *:9000
 mode http
 stats enable
 stats uri /stats
 stats refresh 5s
 stats auth admin:pass123
</code>

* *bind :9000 – port dedicat pentru statistici.
* stats uri /stats – URL-ul paginii.
* stats auth – autentificare basic HTTP.

==== Accesare pagina de statistici ====
http://192.168.14.123:9000/stats

[[File:HAProxy stats.png|782x616px|none|HAProxy_stats]]

==== Ansible playbook pentru configurare ====

===== Fişiere necesare =====

{| class="responsive-three-cols"
|-
| class="col" style="vertical-align:middle; text-align:center; padding:15px;" |

[[File:Filethumb.png|thumb|right|link=Media:Inventory.ini|Descarcă fișierul de inventar si variabile]]

| class="col" style="vertical-align:middle; text-align:center; padding:15px;" |

[[File:Filethumb.png|thumb|right|link=Media:Haproxy.yaml|Descarcă fișierul de instalare și configurare iniţială]]

| class="col" style="vertical-align:middle; text-align:center; padding:15px;" |

[[File:Filethumb.png|thumb|right|link=Media:Haproxy-conf.yaml|Descarcă fișierul de actualizare a configurării]]

|}

===== Instalarea HAProxy si configurarea primului frontend şi backend =====

<code class="mw-code mw-highlight plainlinks" style="display:block"> # ansible-playbook -i /path/to/Inventory.ini /path/to/Haproxy.yaml
</code>

===== Confingurarea frontend şi backend pentru HAProxy =====

<code class="mw-code mw-highlight plainlinks" style="display:block"> # ansible-playbook -i /path/to/Inventory.ini /path/to/Haproxy-conf.yaml
</code>

== HAProxy cu SSL Passthrough și Mapări Dinamice Layer 7 ==
[[File:haproxyLayer7.png|782x616px|none|HAProxy Layer7]]

Acest scenariu avansat descrie configurarea HAProxy ca un "Router Layer 7 (Content-Based Switch)". Această arhitectură permite consolidarea mai multor domenii și subdomenii complet diferite pe un singur IP public extern, rutând traficul dinamic către mașini virtuale (backend-uri) separate, fără ca HAProxy să decripteze traficul SSL/TLS (SSL Passthrough).

=== Configurare Frontend-uri și Backend-uri Modulare ===

Fișierele sunt stocate modular în directorul inclus secundar (`conf.d/`).

==== Configurare Frontend ====

Fișierele sunt stocate modular în directorul inclus secundar (`conf.d/`).

<code class="mw-code mw-highlight plainlinks" style="display:block"> # nano /etc/haproxy/conf.d/websites.cfg
 
 # FRONTEND HTTP - Port 80 (Cu suport ACME Challenge integrat dinamic)
 
 frontend fe_http
 bind *:80
 mode http
 
 # Extrage stringul curat al domeniului (taie portul :80 trimis de unele browsere)
 http-request set-var(txn.backend) req.hdr(host),field(1,:),lower,map(/etc/haproxy/maps/web-http.map)
 
 # Detecție trafic ACME Challenge (Let's Encrypt / ISPConfig)
 acl is_acme path_beg /.well-known/acme-challenge/
 
 # Securitate: Blocare 403 dacă domeniul nu există în map ȘI nu este o cerere ACME
 http-request deny deny_status 403 if ! { var(txn.backend) -m found } !is_acme
 
 # Rutare: Trimite către backend-ul identificat în map
 use_backend %[var(txn.backend)] if { var(txn.backend) -m found }
 
 # Fallback obligatoriu pentru procesarea automată a certificatelor ACME generate în ISPConfig
 default_backend be_vm1_http
 
 # FRONTEND HTTPS - Port 443 (SSL Passthrough transparent pe bază de SNI)
 
 frontend fe_https
 bind *:443
 mode tcp
 
 # Inspectează pachetele inițiale TCP pentru a citi header-ul TLS nesecurizat
 tcp-request inspect-delay 5s
 tcp-request content accept if { req.ssl_hello_type 1 }
 
 # Rutare Layer 4 bazată pe SNI-ul extras din handshake-ul TLS potrivit în map-ul HTTPS
 use_backend %[req.ssl_sni,lower,map(/etc/haproxy/maps/web-https.map)]
 
 # Dacă domeniul accesat prin TLS nu există în map, conexiunea este respinsă direct
 default_backend be_https_deny
 
</code>

==== Configurare Backend ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> # nano /etc/haproxy/conf.d/websites.cfg
 
 # DEFINIRE BACKEND-URI SERVERE VIRTUALE
 
 # BACKEND-URI VM1 (192.168.14.11)
 backend be_vm1_http
 mode http
 server vm1_web 192.168.14.11:80 check
 
 backend be_vm1_https
 mode tcp
 server vm1_ssl 192.168.14.11:443 check
 
 # BACKEND-URI VM2 (192.168.14.22)
 backend be_vm2_http
 mode http
 server vm2_web 192.168.14.22:80 check
 
 backend be_vm2_https
 mode tcp
 server vm2_ssl 192.168.14.22:443 check
 
 # BACKEND-URI VM3 (192.168.14.33)
 backend be_vm3_http
 mode http
 server vm3_web 192.168.14.33:80 check
 
 backend be_vm3_https
 mode tcp
 server vm3_ssl 192.168.14.33:443 check
 
 # BACKEND SIGURANȚĂ (DENY)
 backend be_https_deny
 mode tcp
</code>

=== Structură Fișiere Mapare Dinamică ===

Pentru a evita modificarea continuă a fișierului principal de configurare la adăugarea de noi domenii, folosim fișiere de mapare de tip cheie-valoare (*.map).

==== Fișier Mapare HTTP (Port 80) ====
<code class="mw-code mw-highlight plainlinks" style="display:block"> # nano /etc/haproxy/maps/web-http.map
 # VM1 - 192.168.1.11
 domeniu.eu be_vm1_http
 sub.domeniu.eu be_vm1_http
 # VM2 - 192.168.1.22
 domeniu.com be_vm2_http
 sub.domeniu.com be_vm2_http
 # VM3 - 192.168.1.33
 domeniu.ro be_vm3_http
 sub.domeniu.ro be_vm3_http
</code>

==== Fișier Mapare HTTPS (Port 443) ====
<code class="mw-code mw-highlight plainlinks" style="display:block"> # nano /etc/haproxy/maps/web-https.map
 # VM1 - 192.168.1.11
 domeniu.eu be_vm1_https
 sub.domeniu.eu be_vm1_https
 # VM2 - 192.168.1.22
 domeniu.com be_vm2_https
 sub.domeniu.com be_vm2_https
 # VM3 - 192.168.1.33
 domeniu.ro be_vm3_https
 sub.domeniu.ro be_vm3_https
</code>

=== Integrare Modulară în Systemd (conf.d) ===

Pentru ca HAProxy să încarce automat toate fișierele de configurare din directorul secundar <tt>conf.d/</tt>, trebuie modificat scriptul de pornire al serviciului în Systemd.

==== Modificarea fișierului de serviciu ====

Caută linia implicită de pornire și comenteaz-o
Adaugă direct sub ea noua instrucțiune care include ambele căi de configurare ("haproxy.cfg" și directorul "conf.d/").

<code class="mw-code mw-highlight plainlinks" style="display:block"> # nano /usr/lib/systemd/system/haproxy.service
 
 # ExecStart=/usr/sbin/haproxy -Ws -f $CONFIG -p $PIDFILE $EXTRAOPTS
 ExecStart=/usr/sbin/haproxy -Ws -f /etc/haproxy/haproxy.cfg -f /etc/haproxy/conf.d/ -p /run/haproxy.pid
</code>

==== Reîncărcarea și Aplicarea Modificărilor ====
<code class="mw-code mw-highlight plainlinks" style="display:block"> # systemctl daemon-reload
 # systemctl restart haproxy
</code>

==== Managementul Configurării ====

Unul dintre marile avantaje ale acestei arhitecturi este capacitatea de a aplica modificări fără a întrerupe sesiunile HTTP/HTTPS active ale utilizatorilor (Zero-Downtime).

<code class="mw-code mw-highlight plainlinks" style="display:block"> # haproxy -c -f /etc/haproxy/haproxy.cfg -f /etc/haproxy/conf.d/ # Validarea sintaxei
 # systemctl reload haproxy # Reîncărcarea serviciului cu noua configurare
</code>

== HAProxy pentru Baze de Date (MySQL / MariaDB) ==

Această secțiune descrie configurarea HAProxy în Modul TCP (Layer 4) pentru baze de date. Deoarece MySQL/MariaDB folosește un protocol binar propriu, HAProxy nu va inspecta conținutul pachetelor, ci doar va ruta conexiunile la nivel de port.

=== Prerechizite: Utilizatorul de Health Check ===

Pentru ca HAProxy să poată verifica dacă serverele MySQL sunt "vii" (fără a deschide doar portul TCP orbește), trebuie creat un utilizator fără parole și fără privilegii pe serverul de baze de date.

<code class="mw-code mw-highlight plainlinks" style="display:block"> CREATE USER 'haproxy_check'@'IP_SERVER_HAPROXY';
 FLUSH PRIVILEGES;
</code>
Se execută pe Master (dacă replicarea este pornită).

=== Replicare Master/Slave ===
[[File:HaproxySQL_MS.png|782x616px|none|HAProxy Master-Slave]]

Destinat infrastructurilor clasice Master/Slave. Aplicația folosește un singur punct de conexiune (db.domeniu.lan:3306). HAProxy trimite tot traficul către Master, în timp ce Slave-ul stă în așteptare (backup) și preia automat activitatea doar dacă Masterul intră în crash.

File:HaproxySQL MS.png

2026-11-01T00:45:44Z

Wikiadmin:

HAProxy

2026-11-01T00:44:09Z

Wikiadmin: /* Prerechizite: Utilizatorul de Health Check */

== HAProxy - Load Balancing Standard (Grup Unic Backend) ==
[[File:HAProxy.png|782x616px|none|HAProxy]]
=== Instalare HAProxy ===
La instalare HAProxy activează serviciul systemd.
<code class="mw-code mw-highlight plainlinks" style="display:block"> # apt -y install haproxy
</code>

=== Structura fișierului de configurare ===

Fișierul principal:
<code class="mw-code mw-highlight plainlinks" style="display:block"> # nano /etc/haproxy/haproxy.cfg
</code>

Configurația este împărțită în:
* global – setări pentru procesul HAProxy
* defaults – setări implicite pentru toate secțiunile
* frontend – puncte de intrare pentru trafic
* backend – serverele către care se trimite traficul

==== Secțiunea global ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> global
 log /dev/log local0
 log /dev/log local1 notice
 maxconn 4096
 user haproxy
 group haproxy
 daemon
</code>

* log /dev/log local0 – trimite logurile către syslog.
* log /dev/log local1 notice – al doilea canal de log, nivel minim notice.
* maxconn 4096 – număr maxim de conexiuni simultane.
* user/group haproxy – rulează cu userul de sistem haproxy.
* daemon – rulează în background.

==== Secțiunea defaults ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> defaults
 log global
 mode http
 option httplog
 option dontlognull
 timeout connect 5s
 timeout client 30s
 timeout server 30s
</code>
* log global – folosește setările din secțiunea global.
* mode http – modul implicit pentru frontend/backend.*
* option httplog – loguri detaliate HTTP.
* option dontlognull – nu loghează conexiuni goale.
* timeout connect/client/server – limite de timp pentru conexiuni.
 * Dacă un frontend sau backend are propriul mode (ex: mode tcp), acesta suprascrie automat valoarea din defaults

==== Frontend HTTP (port 80) ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> frontend http_in
 bind *:80
 mode http
 option forwardfor
 default_backend http_webserver
</code>

* bind *:80 – ascultă pe portul 80.
* mode http – procesează header-ele HTTP.
* option forwardfor – adaugă X‑Forwarded‑For cu IP-ul real al clientului.
* default_backend http_webserver – trimite traficul către backend-ul HTTP.

==== Backend HTTP ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> backend http_webserver
 mode http
 balance leastconn
 option httpchk GET /
 server vm01 192.168.14.11:80 check
 server vm02 192.168.14.22:80 check
 server vm03 192.168.14.33:80 check
</code>

* mode http – backend-ul procesează HTTP.
* balance leastconn – trimite traficul către serverul cu cele mai puține conexiuni active.
* option httpchk GET / – health-check HTTP.
* server vm01/vm02/vm03 – cele trei VM.

=== HTTPS (port 443) cu SSL Termination în HAProxy ===

În această situaţie HAProxy gestionează certificatul.

==== Generare certificat Let’s Encrypt ====

Necesită port 80 public și domeniu valid. 
Certbot, în modul --standalone, pornește un mini‑webserver intern pe portul 80 pentru a răspunde la challenge-ul HTTP‑01 de la Let’s Encrypt. 
Dacă HAProxy este pornit, acesta ocupă portul 80 și Certbot nu poate porni serverul de validare, ceea ce duce la eșecul generării certificatului.

'''Instalare certbot'''

<code class="mw-code mw-highlight plainlinks" style="display:block"> apt -y install certbot
</code>

'''Oprire temporară HAProxy'''

<code class="mw-code mw-highlight plainlinks" style="display:block"> systemctl stop haproxy
</code>

'''Generare certificat'''

<code class="mw-code mw-highlight plainlinks" style="display:block"> certbot certonly --standalone -d wiki.stradivart.ro
</code>

'''Creare fișier PEM pentru HAProxy'''

<code class="mw-code mw-highlight plainlinks" style="display:block"> # mkdir -p /etc/haproxy/certs
 # cat /etc/letsencrypt/live/wiki.stradivart.ro/fullchain.pem \
 /etc/letsencrypt/live/wiki.stradivart.ro/privkey.pem \
 > /etc/haproxy/certs/wiki.stradivart.ro.pem
 # chmod 600 /etc/haproxy/certs/wiki.stradivart.ro.pem
</code>

==== Frontend HTTPS (SSL termination) ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> frontend https_in
 bind *:443 ssl crt /etc/haproxy/certs/wiki.stradivart.ro.pem
 mode http
 option forwardfor
 default_backend http_webserver
</code>
* *bind :443 ssl crt ... – HAProxy decriptează SSL.
* mode http – traficul devine HTTP după terminarea SSL.
* default_backend http_webserver – backend-ul HTTP unic.

==== Backend HTTPS (SSL termination) ====

În cazul SSL termination, backend-ul nu procesează trafic HTTPS. 
HAProxy decriptează SSL în frontend, iar backend-ul primește trafic HTTP normal (non‑SSL). 
De aceea backend-ul este identic cu backend-ul HTTP.

<code class="mw-code mw-highlight plainlinks" style="display:block"> backend http_webserver
 mode http
 balance leastconn
 option httpchk GET /
 server vm01 192.168.14.11:80 check
 server vm02 192.168.14.22:80 check
 server vm03 192.168.14.33:80 check
</code>

* mode http – backend-ul procesează HTTP.
* balance leastconn – trimite traficul către serverul cu cele mai puține conexiuni active.
* option httpchk GET / – health-check HTTP.
* server vm01/vm02/vm03 – cele trei VM.

=== HTTPS (port 443) cu SSL Passthrough ===

Webserver-ul gestionează certificatul. HAProxy doar forward-ează pachetele SSL.

==== Frontend HTTPS (SSL passthrough) ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> frontend https_in
 bind *:443
 mode tcp
 default_backend httpS_webserver
</code>

* *bind :443 – ascultă pe portul 443.
* mode tcp – HAProxy nu decriptează SSL.
* default_backend httpS_webserver – backend separat în modul TCP.

==== Backend HTTPS (SSL passthrough) ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> backend httpS_webserver
 mode tcp
 balance leastconn
 server vm01 192.168.14.11:443 check
 server vm02 192.168.14.22:443 check
 server vm03 192.168.14.33:443 check
</code>

* mode tcp – forward transparent al pachetelor SSL.
* balance leastconn – distribuție inteligentă.
* server vm01/vm02/vm03 – VM-urile ISPConfig.

=== Frontend HTTP (port 80) - ACME Challenge ===

Această secțiune descrie configurarea HAProxy pentru a permite generarea certificatelor Let’s Encrypt în ISPConfig atunci când HAProxy funcționează în modul SSL Passthrough.
Pentru validarea HTTP‑01, traficul către /.well-known/acme-challenge/ trebuie direcționat către backend-ul HTTP al ISPConfig.

==== Frontend HTTP (ACME Challenge Forwarding) ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> frontend http_in
 bind *:80
 mode http
 acl letsencrypt-acl path_beg /.well-known/acme-challenge/
 use_backend letsencrypt-backend if letsencrypt-acl
 default_backend ispconfig_http
</code>

* acl letsencrypt-acl path_beg - detectăm cererile ACME challenge
* use_backend - Forward ACME challenge către backend-ul dedicat
* default_backend - Restul traficului HTTP merge către backend-ul HTTP normal

==== Backend HTTP (ACME Challenge Forwarding) ====

Backend dedicat pentru Let’s Encrypt.
Acesta trebuie să trimită cererile către portul 80 al serverrelor ISPConfig.

<code class="mw-code mw-highlight plainlinks" style="display:block"> backend letsencrypt-backend
 mode http
 server isp1 192.168.14.11:80 check
 server isp2 192.168.14.22:80 check
 server isp3 192.168.14.33:80 check
</code>

==== Backend HTTP (trafic normal) ====

Backend-ul standard pentru HTTP (port 80), folosit pentru redirectări, panel ISPConfig, sau site-uri HTTP.

<code class="mw-code mw-highlight plainlinks" style="display:block"> backend ispconfig_http
 mode http
 balance roundrobin
 option httpchk GET /
 server isp1 192.168.14.11:80 check
 server isp2 192.168.14.22:80 check
 server isp3 192.168.14.33:80 check
</code>

=== Pagina de statistici HAProxy ===

<code class="mw-code mw-highlight plainlinks" style="display:block"> listen stats
 bind *:9000
 mode http
 stats enable
 stats uri /stats
 stats refresh 5s
 stats auth admin:pass123
</code>

* *bind :9000 – port dedicat pentru statistici.
* stats uri /stats – URL-ul paginii.
* stats auth – autentificare basic HTTP.

==== Accesare pagina de statistici ====
http://192.168.14.123:9000/stats

[[File:HAProxy stats.png|782x616px|none|HAProxy_stats]]

==== Ansible playbook pentru configurare ====

===== Fişiere necesare =====

{| class="responsive-three-cols"
|-
| class="col" style="vertical-align:middle; text-align:center; padding:15px;" |

[[File:Filethumb.png|thumb|right|link=Media:Inventory.ini|Descarcă fișierul de inventar si variabile]]

| class="col" style="vertical-align:middle; text-align:center; padding:15px;" |

[[File:Filethumb.png|thumb|right|link=Media:Haproxy.yaml|Descarcă fișierul de instalare și configurare iniţială]]

| class="col" style="vertical-align:middle; text-align:center; padding:15px;" |

[[File:Filethumb.png|thumb|right|link=Media:Haproxy-conf.yaml|Descarcă fișierul de actualizare a configurării]]

|}

===== Instalarea HAProxy si configurarea primului frontend şi backend =====

<code class="mw-code mw-highlight plainlinks" style="display:block"> # ansible-playbook -i /path/to/Inventory.ini /path/to/Haproxy.yaml
</code>

===== Confingurarea frontend şi backend pentru HAProxy =====

<code class="mw-code mw-highlight plainlinks" style="display:block"> # ansible-playbook -i /path/to/Inventory.ini /path/to/Haproxy-conf.yaml
</code>

== HAProxy cu SSL Passthrough și Mapări Dinamice Layer 7 ==
[[File:haproxyLayer7.png|782x616px|none|HAProxy Layer7]]

Acest scenariu avansat descrie configurarea HAProxy ca un "Router Layer 7 (Content-Based Switch)". Această arhitectură permite consolidarea mai multor domenii și subdomenii complet diferite pe un singur IP public extern, rutând traficul dinamic către mașini virtuale (backend-uri) separate, fără ca HAProxy să decripteze traficul SSL/TLS (SSL Passthrough).

=== Configurare Frontend-uri și Backend-uri Modulare ===

Fișierele sunt stocate modular în directorul inclus secundar (`conf.d/`).

==== Configurare Frontend ====

Fișierele sunt stocate modular în directorul inclus secundar (`conf.d/`).

<code class="mw-code mw-highlight plainlinks" style="display:block"> # nano /etc/haproxy/conf.d/websites.cfg
 
 # FRONTEND HTTP - Port 80 (Cu suport ACME Challenge integrat dinamic)
 
 frontend fe_http
 bind *:80
 mode http
 
 # Extrage stringul curat al domeniului (taie portul :80 trimis de unele browsere)
 http-request set-var(txn.backend) req.hdr(host),field(1,:),lower,map(/etc/haproxy/maps/web-http.map)
 
 # Detecție trafic ACME Challenge (Let's Encrypt / ISPConfig)
 acl is_acme path_beg /.well-known/acme-challenge/
 
 # Securitate: Blocare 403 dacă domeniul nu există în map ȘI nu este o cerere ACME
 http-request deny deny_status 403 if ! { var(txn.backend) -m found } !is_acme
 
 # Rutare: Trimite către backend-ul identificat în map
 use_backend %[var(txn.backend)] if { var(txn.backend) -m found }
 
 # Fallback obligatoriu pentru procesarea automată a certificatelor ACME generate în ISPConfig
 default_backend be_vm1_http
 
 # FRONTEND HTTPS - Port 443 (SSL Passthrough transparent pe bază de SNI)
 
 frontend fe_https
 bind *:443
 mode tcp
 
 # Inspectează pachetele inițiale TCP pentru a citi header-ul TLS nesecurizat
 tcp-request inspect-delay 5s
 tcp-request content accept if { req.ssl_hello_type 1 }
 
 # Rutare Layer 4 bazată pe SNI-ul extras din handshake-ul TLS potrivit în map-ul HTTPS
 use_backend %[req.ssl_sni,lower,map(/etc/haproxy/maps/web-https.map)]
 
 # Dacă domeniul accesat prin TLS nu există în map, conexiunea este respinsă direct
 default_backend be_https_deny
 
</code>

==== Configurare Backend ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> # nano /etc/haproxy/conf.d/websites.cfg
 
 # DEFINIRE BACKEND-URI SERVERE VIRTUALE
 
 # BACKEND-URI VM1 (192.168.14.11)
 backend be_vm1_http
 mode http
 server vm1_web 192.168.14.11:80 check
 
 backend be_vm1_https
 mode tcp
 server vm1_ssl 192.168.14.11:443 check
 
 # BACKEND-URI VM2 (192.168.14.22)
 backend be_vm2_http
 mode http
 server vm2_web 192.168.14.22:80 check
 
 backend be_vm2_https
 mode tcp
 server vm2_ssl 192.168.14.22:443 check
 
 # BACKEND-URI VM3 (192.168.14.33)
 backend be_vm3_http
 mode http
 server vm3_web 192.168.14.33:80 check
 
 backend be_vm3_https
 mode tcp
 server vm3_ssl 192.168.14.33:443 check
 
 # BACKEND SIGURANȚĂ (DENY)
 backend be_https_deny
 mode tcp
</code>

=== Structură Fișiere Mapare Dinamică ===

Pentru a evita modificarea continuă a fișierului principal de configurare la adăugarea de noi domenii, folosim fișiere de mapare de tip cheie-valoare (*.map).

==== Fișier Mapare HTTP (Port 80) ====
<code class="mw-code mw-highlight plainlinks" style="display:block"> # nano /etc/haproxy/maps/web-http.map
 # VM1 - 192.168.1.11
 domeniu.eu be_vm1_http
 sub.domeniu.eu be_vm1_http
 # VM2 - 192.168.1.22
 domeniu.com be_vm2_http
 sub.domeniu.com be_vm2_http
 # VM3 - 192.168.1.33
 domeniu.ro be_vm3_http
 sub.domeniu.ro be_vm3_http
</code>

==== Fișier Mapare HTTPS (Port 443) ====
<code class="mw-code mw-highlight plainlinks" style="display:block"> # nano /etc/haproxy/maps/web-https.map
 # VM1 - 192.168.1.11
 domeniu.eu be_vm1_https
 sub.domeniu.eu be_vm1_https
 # VM2 - 192.168.1.22
 domeniu.com be_vm2_https
 sub.domeniu.com be_vm2_https
 # VM3 - 192.168.1.33
 domeniu.ro be_vm3_https
 sub.domeniu.ro be_vm3_https
</code>

=== Integrare Modulară în Systemd (conf.d) ===

Pentru ca HAProxy să încarce automat toate fișierele de configurare din directorul secundar <tt>conf.d/</tt>, trebuie modificat scriptul de pornire al serviciului în Systemd.

==== Modificarea fișierului de serviciu ====

Caută linia implicită de pornire și comenteaz-o
Adaugă direct sub ea noua instrucțiune care include ambele căi de configurare ("haproxy.cfg" și directorul "conf.d/").

<code class="mw-code mw-highlight plainlinks" style="display:block"> # nano /usr/lib/systemd/system/haproxy.service
 
 # ExecStart=/usr/sbin/haproxy -Ws -f $CONFIG -p $PIDFILE $EXTRAOPTS
 ExecStart=/usr/sbin/haproxy -Ws -f /etc/haproxy/haproxy.cfg -f /etc/haproxy/conf.d/ -p /run/haproxy.pid
</code>

==== Reîncărcarea și Aplicarea Modificărilor ====
<code class="mw-code mw-highlight plainlinks" style="display:block"> # systemctl daemon-reload
 # systemctl restart haproxy
</code>

==== Managementul Configurării ====

Unul dintre marile avantaje ale acestei arhitecturi este capacitatea de a aplica modificări fără a întrerupe sesiunile HTTP/HTTPS active ale utilizatorilor (Zero-Downtime).

<code class="mw-code mw-highlight plainlinks" style="display:block"> # haproxy -c -f /etc/haproxy/haproxy.cfg -f /etc/haproxy/conf.d/ # Validarea sintaxei
 # systemctl reload haproxy # Reîncărcarea serviciului cu noua configurare
</code>

== HAProxy pentru Baze de Date (MySQL / MariaDB) ==

Această secțiune descrie configurarea HAProxy în Modul TCP (Layer 4) pentru baze de date. Deoarece MySQL/MariaDB folosește un protocol binar propriu, HAProxy nu va inspecta conținutul pachetelor, ci doar va ruta conexiunile la nivel de port.

=== Prerechizite: Utilizatorul de Health Check ===

Pentru ca HAProxy să poată verifica dacă serverele MySQL sunt "vii" (fără a deschide doar portul TCP orbește), trebuie creat un utilizator fără parole și fără privilegii pe serverul de baze de date.

<code class="mw-code mw-highlight plainlinks" style="display:block"> CREATE USER 'haproxy_check'@'IP_SERVER_HAPROXY';
 FLUSH PRIVILEGES;
</code>
Se execută pe Master (dacă replicarea este pornită).

HAProxy

2026-11-01T00:43:07Z

Wikiadmin: /* HAProxy pentru Baze de Date (MySQL / MariaDB) */

== HAProxy - Load Balancing Standard (Grup Unic Backend) ==
[[File:HAProxy.png|782x616px|none|HAProxy]]
=== Instalare HAProxy ===
La instalare HAProxy activează serviciul systemd.
<code class="mw-code mw-highlight plainlinks" style="display:block"> # apt -y install haproxy
</code>

=== Structura fișierului de configurare ===

Fișierul principal:
<code class="mw-code mw-highlight plainlinks" style="display:block"> # nano /etc/haproxy/haproxy.cfg
</code>

Configurația este împărțită în:
* global – setări pentru procesul HAProxy
* defaults – setări implicite pentru toate secțiunile
* frontend – puncte de intrare pentru trafic
* backend – serverele către care se trimite traficul

==== Secțiunea global ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> global
 log /dev/log local0
 log /dev/log local1 notice
 maxconn 4096
 user haproxy
 group haproxy
 daemon
</code>

* log /dev/log local0 – trimite logurile către syslog.
* log /dev/log local1 notice – al doilea canal de log, nivel minim notice.
* maxconn 4096 – număr maxim de conexiuni simultane.
* user/group haproxy – rulează cu userul de sistem haproxy.
* daemon – rulează în background.

==== Secțiunea defaults ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> defaults
 log global
 mode http
 option httplog
 option dontlognull
 timeout connect 5s
 timeout client 30s
 timeout server 30s
</code>
* log global – folosește setările din secțiunea global.
* mode http – modul implicit pentru frontend/backend.*
* option httplog – loguri detaliate HTTP.
* option dontlognull – nu loghează conexiuni goale.
* timeout connect/client/server – limite de timp pentru conexiuni.
 * Dacă un frontend sau backend are propriul mode (ex: mode tcp), acesta suprascrie automat valoarea din defaults

==== Frontend HTTP (port 80) ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> frontend http_in
 bind *:80
 mode http
 option forwardfor
 default_backend http_webserver
</code>

* bind *:80 – ascultă pe portul 80.
* mode http – procesează header-ele HTTP.
* option forwardfor – adaugă X‑Forwarded‑For cu IP-ul real al clientului.
* default_backend http_webserver – trimite traficul către backend-ul HTTP.

==== Backend HTTP ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> backend http_webserver
 mode http
 balance leastconn
 option httpchk GET /
 server vm01 192.168.14.11:80 check
 server vm02 192.168.14.22:80 check
 server vm03 192.168.14.33:80 check
</code>

* mode http – backend-ul procesează HTTP.
* balance leastconn – trimite traficul către serverul cu cele mai puține conexiuni active.
* option httpchk GET / – health-check HTTP.
* server vm01/vm02/vm03 – cele trei VM.

=== HTTPS (port 443) cu SSL Termination în HAProxy ===

În această situaţie HAProxy gestionează certificatul.

==== Generare certificat Let’s Encrypt ====

Necesită port 80 public și domeniu valid. 
Certbot, în modul --standalone, pornește un mini‑webserver intern pe portul 80 pentru a răspunde la challenge-ul HTTP‑01 de la Let’s Encrypt. 
Dacă HAProxy este pornit, acesta ocupă portul 80 și Certbot nu poate porni serverul de validare, ceea ce duce la eșecul generării certificatului.

'''Instalare certbot'''

<code class="mw-code mw-highlight plainlinks" style="display:block"> apt -y install certbot
</code>

'''Oprire temporară HAProxy'''

<code class="mw-code mw-highlight plainlinks" style="display:block"> systemctl stop haproxy
</code>

'''Generare certificat'''

<code class="mw-code mw-highlight plainlinks" style="display:block"> certbot certonly --standalone -d wiki.stradivart.ro
</code>

'''Creare fișier PEM pentru HAProxy'''

<code class="mw-code mw-highlight plainlinks" style="display:block"> # mkdir -p /etc/haproxy/certs
 # cat /etc/letsencrypt/live/wiki.stradivart.ro/fullchain.pem \
 /etc/letsencrypt/live/wiki.stradivart.ro/privkey.pem \
 > /etc/haproxy/certs/wiki.stradivart.ro.pem
 # chmod 600 /etc/haproxy/certs/wiki.stradivart.ro.pem
</code>

==== Frontend HTTPS (SSL termination) ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> frontend https_in
 bind *:443 ssl crt /etc/haproxy/certs/wiki.stradivart.ro.pem
 mode http
 option forwardfor
 default_backend http_webserver
</code>
* *bind :443 ssl crt ... – HAProxy decriptează SSL.
* mode http – traficul devine HTTP după terminarea SSL.
* default_backend http_webserver – backend-ul HTTP unic.

==== Backend HTTPS (SSL termination) ====

În cazul SSL termination, backend-ul nu procesează trafic HTTPS. 
HAProxy decriptează SSL în frontend, iar backend-ul primește trafic HTTP normal (non‑SSL). 
De aceea backend-ul este identic cu backend-ul HTTP.

<code class="mw-code mw-highlight plainlinks" style="display:block"> backend http_webserver
 mode http
 balance leastconn
 option httpchk GET /
 server vm01 192.168.14.11:80 check
 server vm02 192.168.14.22:80 check
 server vm03 192.168.14.33:80 check
</code>

* mode http – backend-ul procesează HTTP.
* balance leastconn – trimite traficul către serverul cu cele mai puține conexiuni active.
* option httpchk GET / – health-check HTTP.
* server vm01/vm02/vm03 – cele trei VM.

=== HTTPS (port 443) cu SSL Passthrough ===

Webserver-ul gestionează certificatul. HAProxy doar forward-ează pachetele SSL.

==== Frontend HTTPS (SSL passthrough) ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> frontend https_in
 bind *:443
 mode tcp
 default_backend httpS_webserver
</code>

* *bind :443 – ascultă pe portul 443.
* mode tcp – HAProxy nu decriptează SSL.
* default_backend httpS_webserver – backend separat în modul TCP.

==== Backend HTTPS (SSL passthrough) ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> backend httpS_webserver
 mode tcp
 balance leastconn
 server vm01 192.168.14.11:443 check
 server vm02 192.168.14.22:443 check
 server vm03 192.168.14.33:443 check
</code>

* mode tcp – forward transparent al pachetelor SSL.
* balance leastconn – distribuție inteligentă.
* server vm01/vm02/vm03 – VM-urile ISPConfig.

=== Frontend HTTP (port 80) - ACME Challenge ===

Această secțiune descrie configurarea HAProxy pentru a permite generarea certificatelor Let’s Encrypt în ISPConfig atunci când HAProxy funcționează în modul SSL Passthrough.
Pentru validarea HTTP‑01, traficul către /.well-known/acme-challenge/ trebuie direcționat către backend-ul HTTP al ISPConfig.

==== Frontend HTTP (ACME Challenge Forwarding) ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> frontend http_in
 bind *:80
 mode http
 acl letsencrypt-acl path_beg /.well-known/acme-challenge/
 use_backend letsencrypt-backend if letsencrypt-acl
 default_backend ispconfig_http
</code>

* acl letsencrypt-acl path_beg - detectăm cererile ACME challenge
* use_backend - Forward ACME challenge către backend-ul dedicat
* default_backend - Restul traficului HTTP merge către backend-ul HTTP normal

==== Backend HTTP (ACME Challenge Forwarding) ====

Backend dedicat pentru Let’s Encrypt.
Acesta trebuie să trimită cererile către portul 80 al serverrelor ISPConfig.

<code class="mw-code mw-highlight plainlinks" style="display:block"> backend letsencrypt-backend
 mode http
 server isp1 192.168.14.11:80 check
 server isp2 192.168.14.22:80 check
 server isp3 192.168.14.33:80 check
</code>

==== Backend HTTP (trafic normal) ====

Backend-ul standard pentru HTTP (port 80), folosit pentru redirectări, panel ISPConfig, sau site-uri HTTP.

<code class="mw-code mw-highlight plainlinks" style="display:block"> backend ispconfig_http
 mode http
 balance roundrobin
 option httpchk GET /
 server isp1 192.168.14.11:80 check
 server isp2 192.168.14.22:80 check
 server isp3 192.168.14.33:80 check
</code>

=== Pagina de statistici HAProxy ===

<code class="mw-code mw-highlight plainlinks" style="display:block"> listen stats
 bind *:9000
 mode http
 stats enable
 stats uri /stats
 stats refresh 5s
 stats auth admin:pass123
</code>

* *bind :9000 – port dedicat pentru statistici.
* stats uri /stats – URL-ul paginii.
* stats auth – autentificare basic HTTP.

==== Accesare pagina de statistici ====
http://192.168.14.123:9000/stats

[[File:HAProxy stats.png|782x616px|none|HAProxy_stats]]

==== Ansible playbook pentru configurare ====

===== Fişiere necesare =====

{| class="responsive-three-cols"
|-
| class="col" style="vertical-align:middle; text-align:center; padding:15px;" |

[[File:Filethumb.png|thumb|right|link=Media:Inventory.ini|Descarcă fișierul de inventar si variabile]]

| class="col" style="vertical-align:middle; text-align:center; padding:15px;" |

[[File:Filethumb.png|thumb|right|link=Media:Haproxy.yaml|Descarcă fișierul de instalare și configurare iniţială]]

| class="col" style="vertical-align:middle; text-align:center; padding:15px;" |

[[File:Filethumb.png|thumb|right|link=Media:Haproxy-conf.yaml|Descarcă fișierul de actualizare a configurării]]

|}

===== Instalarea HAProxy si configurarea primului frontend şi backend =====

<code class="mw-code mw-highlight plainlinks" style="display:block"> # ansible-playbook -i /path/to/Inventory.ini /path/to/Haproxy.yaml
</code>

===== Confingurarea frontend şi backend pentru HAProxy =====

<code class="mw-code mw-highlight plainlinks" style="display:block"> # ansible-playbook -i /path/to/Inventory.ini /path/to/Haproxy-conf.yaml
</code>

== HAProxy cu SSL Passthrough și Mapări Dinamice Layer 7 ==
[[File:haproxyLayer7.png|782x616px|none|HAProxy Layer7]]

Acest scenariu avansat descrie configurarea HAProxy ca un "Router Layer 7 (Content-Based Switch)". Această arhitectură permite consolidarea mai multor domenii și subdomenii complet diferite pe un singur IP public extern, rutând traficul dinamic către mașini virtuale (backend-uri) separate, fără ca HAProxy să decripteze traficul SSL/TLS (SSL Passthrough).

=== Configurare Frontend-uri și Backend-uri Modulare ===

Fișierele sunt stocate modular în directorul inclus secundar (`conf.d/`).

==== Configurare Frontend ====

Fișierele sunt stocate modular în directorul inclus secundar (`conf.d/`).

<code class="mw-code mw-highlight plainlinks" style="display:block"> # nano /etc/haproxy/conf.d/websites.cfg
 
 # FRONTEND HTTP - Port 80 (Cu suport ACME Challenge integrat dinamic)
 
 frontend fe_http
 bind *:80
 mode http
 
 # Extrage stringul curat al domeniului (taie portul :80 trimis de unele browsere)
 http-request set-var(txn.backend) req.hdr(host),field(1,:),lower,map(/etc/haproxy/maps/web-http.map)
 
 # Detecție trafic ACME Challenge (Let's Encrypt / ISPConfig)
 acl is_acme path_beg /.well-known/acme-challenge/
 
 # Securitate: Blocare 403 dacă domeniul nu există în map ȘI nu este o cerere ACME
 http-request deny deny_status 403 if ! { var(txn.backend) -m found } !is_acme
 
 # Rutare: Trimite către backend-ul identificat în map
 use_backend %[var(txn.backend)] if { var(txn.backend) -m found }
 
 # Fallback obligatoriu pentru procesarea automată a certificatelor ACME generate în ISPConfig
 default_backend be_vm1_http
 
 # FRONTEND HTTPS - Port 443 (SSL Passthrough transparent pe bază de SNI)
 
 frontend fe_https
 bind *:443
 mode tcp
 
 # Inspectează pachetele inițiale TCP pentru a citi header-ul TLS nesecurizat
 tcp-request inspect-delay 5s
 tcp-request content accept if { req.ssl_hello_type 1 }
 
 # Rutare Layer 4 bazată pe SNI-ul extras din handshake-ul TLS potrivit în map-ul HTTPS
 use_backend %[req.ssl_sni,lower,map(/etc/haproxy/maps/web-https.map)]
 
 # Dacă domeniul accesat prin TLS nu există în map, conexiunea este respinsă direct
 default_backend be_https_deny
 
</code>

==== Configurare Backend ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> # nano /etc/haproxy/conf.d/websites.cfg
 
 # DEFINIRE BACKEND-URI SERVERE VIRTUALE
 
 # BACKEND-URI VM1 (192.168.14.11)
 backend be_vm1_http
 mode http
 server vm1_web 192.168.14.11:80 check
 
 backend be_vm1_https
 mode tcp
 server vm1_ssl 192.168.14.11:443 check
 
 # BACKEND-URI VM2 (192.168.14.22)
 backend be_vm2_http
 mode http
 server vm2_web 192.168.14.22:80 check
 
 backend be_vm2_https
 mode tcp
 server vm2_ssl 192.168.14.22:443 check
 
 # BACKEND-URI VM3 (192.168.14.33)
 backend be_vm3_http
 mode http
 server vm3_web 192.168.14.33:80 check
 
 backend be_vm3_https
 mode tcp
 server vm3_ssl 192.168.14.33:443 check
 
 # BACKEND SIGURANȚĂ (DENY)
 backend be_https_deny
 mode tcp
</code>

=== Structură Fișiere Mapare Dinamică ===

Pentru a evita modificarea continuă a fișierului principal de configurare la adăugarea de noi domenii, folosim fișiere de mapare de tip cheie-valoare (*.map).

==== Fișier Mapare HTTP (Port 80) ====
<code class="mw-code mw-highlight plainlinks" style="display:block"> # nano /etc/haproxy/maps/web-http.map
 # VM1 - 192.168.1.11
 domeniu.eu be_vm1_http
 sub.domeniu.eu be_vm1_http
 # VM2 - 192.168.1.22
 domeniu.com be_vm2_http
 sub.domeniu.com be_vm2_http
 # VM3 - 192.168.1.33
 domeniu.ro be_vm3_http
 sub.domeniu.ro be_vm3_http
</code>

==== Fișier Mapare HTTPS (Port 443) ====
<code class="mw-code mw-highlight plainlinks" style="display:block"> # nano /etc/haproxy/maps/web-https.map
 # VM1 - 192.168.1.11
 domeniu.eu be_vm1_https
 sub.domeniu.eu be_vm1_https
 # VM2 - 192.168.1.22
 domeniu.com be_vm2_https
 sub.domeniu.com be_vm2_https
 # VM3 - 192.168.1.33
 domeniu.ro be_vm3_https
 sub.domeniu.ro be_vm3_https
</code>

=== Integrare Modulară în Systemd (conf.d) ===

Pentru ca HAProxy să încarce automat toate fișierele de configurare din directorul secundar <tt>conf.d/</tt>, trebuie modificat scriptul de pornire al serviciului în Systemd.

==== Modificarea fișierului de serviciu ====

Caută linia implicită de pornire și comenteaz-o
Adaugă direct sub ea noua instrucțiune care include ambele căi de configurare ("haproxy.cfg" și directorul "conf.d/").

<code class="mw-code mw-highlight plainlinks" style="display:block"> # nano /usr/lib/systemd/system/haproxy.service
 
 # ExecStart=/usr/sbin/haproxy -Ws -f $CONFIG -p $PIDFILE $EXTRAOPTS
 ExecStart=/usr/sbin/haproxy -Ws -f /etc/haproxy/haproxy.cfg -f /etc/haproxy/conf.d/ -p /run/haproxy.pid
</code>

==== Reîncărcarea și Aplicarea Modificărilor ====
<code class="mw-code mw-highlight plainlinks" style="display:block"> # systemctl daemon-reload
 # systemctl restart haproxy
</code>

==== Managementul Configurării ====

Unul dintre marile avantaje ale acestei arhitecturi este capacitatea de a aplica modificări fără a întrerupe sesiunile HTTP/HTTPS active ale utilizatorilor (Zero-Downtime).

<code class="mw-code mw-highlight plainlinks" style="display:block"> # haproxy -c -f /etc/haproxy/haproxy.cfg -f /etc/haproxy/conf.d/ # Validarea sintaxei
 # systemctl reload haproxy # Reîncărcarea serviciului cu noua configurare
</code>

== HAProxy pentru Baze de Date (MySQL / MariaDB) ==

Această secțiune descrie configurarea HAProxy în Modul TCP (Layer 4) pentru baze de date. Deoarece MySQL/MariaDB folosește un protocol binar propriu, HAProxy nu va inspecta conținutul pachetelor, ci doar va ruta conexiunile la nivel de port.

=== Prerechizite: Utilizatorul de Health Check ===

Pentru ca HAProxy să poată verifica dacă serverele MySQL sunt "vii" (fără a deschide doar portul TCP orbește), trebuie creat un utilizator fără parole și fără privilegii pe serverul de baze de date.

Fișierul principal:
<code class="mw-code mw-highlight plainlinks" style="display:block"> CREATE USER 'haproxy_check'@'IP_SERVER_HAPROXY';
 FLUSH PRIVILEGES;
</code>

HAProxy

2026-11-01T00:42:46Z

Wikiadmin: /* Managementul Configurării */

== HAProxy - Load Balancing Standard (Grup Unic Backend) ==
[[File:HAProxy.png|782x616px|none|HAProxy]]
=== Instalare HAProxy ===
La instalare HAProxy activează serviciul systemd.
<code class="mw-code mw-highlight plainlinks" style="display:block"> # apt -y install haproxy
</code>

=== Structura fișierului de configurare ===

Fișierul principal:
<code class="mw-code mw-highlight plainlinks" style="display:block"> # nano /etc/haproxy/haproxy.cfg
</code>

Configurația este împărțită în:
* global – setări pentru procesul HAProxy
* defaults – setări implicite pentru toate secțiunile
* frontend – puncte de intrare pentru trafic
* backend – serverele către care se trimite traficul

==== Secțiunea global ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> global
 log /dev/log local0
 log /dev/log local1 notice
 maxconn 4096
 user haproxy
 group haproxy
 daemon
</code>

* log /dev/log local0 – trimite logurile către syslog.
* log /dev/log local1 notice – al doilea canal de log, nivel minim notice.
* maxconn 4096 – număr maxim de conexiuni simultane.
* user/group haproxy – rulează cu userul de sistem haproxy.
* daemon – rulează în background.

==== Secțiunea defaults ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> defaults
 log global
 mode http
 option httplog
 option dontlognull
 timeout connect 5s
 timeout client 30s
 timeout server 30s
</code>
* log global – folosește setările din secțiunea global.
* mode http – modul implicit pentru frontend/backend.*
* option httplog – loguri detaliate HTTP.
* option dontlognull – nu loghează conexiuni goale.
* timeout connect/client/server – limite de timp pentru conexiuni.
 * Dacă un frontend sau backend are propriul mode (ex: mode tcp), acesta suprascrie automat valoarea din defaults

==== Frontend HTTP (port 80) ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> frontend http_in
 bind *:80
 mode http
 option forwardfor
 default_backend http_webserver
</code>

* bind *:80 – ascultă pe portul 80.
* mode http – procesează header-ele HTTP.
* option forwardfor – adaugă X‑Forwarded‑For cu IP-ul real al clientului.
* default_backend http_webserver – trimite traficul către backend-ul HTTP.

==== Backend HTTP ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> backend http_webserver
 mode http
 balance leastconn
 option httpchk GET /
 server vm01 192.168.14.11:80 check
 server vm02 192.168.14.22:80 check
 server vm03 192.168.14.33:80 check
</code>

* mode http – backend-ul procesează HTTP.
* balance leastconn – trimite traficul către serverul cu cele mai puține conexiuni active.
* option httpchk GET / – health-check HTTP.
* server vm01/vm02/vm03 – cele trei VM.

=== HTTPS (port 443) cu SSL Termination în HAProxy ===

În această situaţie HAProxy gestionează certificatul.

==== Generare certificat Let’s Encrypt ====

Necesită port 80 public și domeniu valid. 
Certbot, în modul --standalone, pornește un mini‑webserver intern pe portul 80 pentru a răspunde la challenge-ul HTTP‑01 de la Let’s Encrypt. 
Dacă HAProxy este pornit, acesta ocupă portul 80 și Certbot nu poate porni serverul de validare, ceea ce duce la eșecul generării certificatului.

'''Instalare certbot'''

<code class="mw-code mw-highlight plainlinks" style="display:block"> apt -y install certbot
</code>

'''Oprire temporară HAProxy'''

<code class="mw-code mw-highlight plainlinks" style="display:block"> systemctl stop haproxy
</code>

'''Generare certificat'''

<code class="mw-code mw-highlight plainlinks" style="display:block"> certbot certonly --standalone -d wiki.stradivart.ro
</code>

'''Creare fișier PEM pentru HAProxy'''

<code class="mw-code mw-highlight plainlinks" style="display:block"> # mkdir -p /etc/haproxy/certs
 # cat /etc/letsencrypt/live/wiki.stradivart.ro/fullchain.pem \
 /etc/letsencrypt/live/wiki.stradivart.ro/privkey.pem \
 > /etc/haproxy/certs/wiki.stradivart.ro.pem
 # chmod 600 /etc/haproxy/certs/wiki.stradivart.ro.pem
</code>

==== Frontend HTTPS (SSL termination) ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> frontend https_in
 bind *:443 ssl crt /etc/haproxy/certs/wiki.stradivart.ro.pem
 mode http
 option forwardfor
 default_backend http_webserver
</code>
* *bind :443 ssl crt ... – HAProxy decriptează SSL.
* mode http – traficul devine HTTP după terminarea SSL.
* default_backend http_webserver – backend-ul HTTP unic.

==== Backend HTTPS (SSL termination) ====

În cazul SSL termination, backend-ul nu procesează trafic HTTPS. 
HAProxy decriptează SSL în frontend, iar backend-ul primește trafic HTTP normal (non‑SSL). 
De aceea backend-ul este identic cu backend-ul HTTP.

<code class="mw-code mw-highlight plainlinks" style="display:block"> backend http_webserver
 mode http
 balance leastconn
 option httpchk GET /
 server vm01 192.168.14.11:80 check
 server vm02 192.168.14.22:80 check
 server vm03 192.168.14.33:80 check
</code>

* mode http – backend-ul procesează HTTP.
* balance leastconn – trimite traficul către serverul cu cele mai puține conexiuni active.
* option httpchk GET / – health-check HTTP.
* server vm01/vm02/vm03 – cele trei VM.

=== HTTPS (port 443) cu SSL Passthrough ===

Webserver-ul gestionează certificatul. HAProxy doar forward-ează pachetele SSL.

==== Frontend HTTPS (SSL passthrough) ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> frontend https_in
 bind *:443
 mode tcp
 default_backend httpS_webserver
</code>

* *bind :443 – ascultă pe portul 443.
* mode tcp – HAProxy nu decriptează SSL.
* default_backend httpS_webserver – backend separat în modul TCP.

==== Backend HTTPS (SSL passthrough) ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> backend httpS_webserver
 mode tcp
 balance leastconn
 server vm01 192.168.14.11:443 check
 server vm02 192.168.14.22:443 check
 server vm03 192.168.14.33:443 check
</code>

* mode tcp – forward transparent al pachetelor SSL.
* balance leastconn – distribuție inteligentă.
* server vm01/vm02/vm03 – VM-urile ISPConfig.

=== Frontend HTTP (port 80) - ACME Challenge ===

Această secțiune descrie configurarea HAProxy pentru a permite generarea certificatelor Let’s Encrypt în ISPConfig atunci când HAProxy funcționează în modul SSL Passthrough.
Pentru validarea HTTP‑01, traficul către /.well-known/acme-challenge/ trebuie direcționat către backend-ul HTTP al ISPConfig.

==== Frontend HTTP (ACME Challenge Forwarding) ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> frontend http_in
 bind *:80
 mode http
 acl letsencrypt-acl path_beg /.well-known/acme-challenge/
 use_backend letsencrypt-backend if letsencrypt-acl
 default_backend ispconfig_http
</code>

* acl letsencrypt-acl path_beg - detectăm cererile ACME challenge
* use_backend - Forward ACME challenge către backend-ul dedicat
* default_backend - Restul traficului HTTP merge către backend-ul HTTP normal

==== Backend HTTP (ACME Challenge Forwarding) ====

Backend dedicat pentru Let’s Encrypt.
Acesta trebuie să trimită cererile către portul 80 al serverrelor ISPConfig.

<code class="mw-code mw-highlight plainlinks" style="display:block"> backend letsencrypt-backend
 mode http
 server isp1 192.168.14.11:80 check
 server isp2 192.168.14.22:80 check
 server isp3 192.168.14.33:80 check
</code>

==== Backend HTTP (trafic normal) ====

Backend-ul standard pentru HTTP (port 80), folosit pentru redirectări, panel ISPConfig, sau site-uri HTTP.

<code class="mw-code mw-highlight plainlinks" style="display:block"> backend ispconfig_http
 mode http
 balance roundrobin
 option httpchk GET /
 server isp1 192.168.14.11:80 check
 server isp2 192.168.14.22:80 check
 server isp3 192.168.14.33:80 check
</code>

=== Pagina de statistici HAProxy ===

<code class="mw-code mw-highlight plainlinks" style="display:block"> listen stats
 bind *:9000
 mode http
 stats enable
 stats uri /stats
 stats refresh 5s
 stats auth admin:pass123
</code>

* *bind :9000 – port dedicat pentru statistici.
* stats uri /stats – URL-ul paginii.
* stats auth – autentificare basic HTTP.

==== Accesare pagina de statistici ====
http://192.168.14.123:9000/stats

[[File:HAProxy stats.png|782x616px|none|HAProxy_stats]]

==== Ansible playbook pentru configurare ====

===== Fişiere necesare =====

{| class="responsive-three-cols"
|-
| class="col" style="vertical-align:middle; text-align:center; padding:15px;" |

[[File:Filethumb.png|thumb|right|link=Media:Inventory.ini|Descarcă fișierul de inventar si variabile]]

| class="col" style="vertical-align:middle; text-align:center; padding:15px;" |

[[File:Filethumb.png|thumb|right|link=Media:Haproxy.yaml|Descarcă fișierul de instalare și configurare iniţială]]

| class="col" style="vertical-align:middle; text-align:center; padding:15px;" |

[[File:Filethumb.png|thumb|right|link=Media:Haproxy-conf.yaml|Descarcă fișierul de actualizare a configurării]]

|}

===== Instalarea HAProxy si configurarea primului frontend şi backend =====

<code class="mw-code mw-highlight plainlinks" style="display:block"> # ansible-playbook -i /path/to/Inventory.ini /path/to/Haproxy.yaml
</code>

===== Confingurarea frontend şi backend pentru HAProxy =====

<code class="mw-code mw-highlight plainlinks" style="display:block"> # ansible-playbook -i /path/to/Inventory.ini /path/to/Haproxy-conf.yaml
</code>

== HAProxy cu SSL Passthrough și Mapări Dinamice Layer 7 ==
[[File:haproxyLayer7.png|782x616px|none|HAProxy Layer7]]

Acest scenariu avansat descrie configurarea HAProxy ca un "Router Layer 7 (Content-Based Switch)". Această arhitectură permite consolidarea mai multor domenii și subdomenii complet diferite pe un singur IP public extern, rutând traficul dinamic către mașini virtuale (backend-uri) separate, fără ca HAProxy să decripteze traficul SSL/TLS (SSL Passthrough).

=== Configurare Frontend-uri și Backend-uri Modulare ===

Fișierele sunt stocate modular în directorul inclus secundar (`conf.d/`).

==== Configurare Frontend ====

Fișierele sunt stocate modular în directorul inclus secundar (`conf.d/`).

<code class="mw-code mw-highlight plainlinks" style="display:block"> # nano /etc/haproxy/conf.d/websites.cfg
 
 # FRONTEND HTTP - Port 80 (Cu suport ACME Challenge integrat dinamic)
 
 frontend fe_http
 bind *:80
 mode http
 
 # Extrage stringul curat al domeniului (taie portul :80 trimis de unele browsere)
 http-request set-var(txn.backend) req.hdr(host),field(1,:),lower,map(/etc/haproxy/maps/web-http.map)
 
 # Detecție trafic ACME Challenge (Let's Encrypt / ISPConfig)
 acl is_acme path_beg /.well-known/acme-challenge/
 
 # Securitate: Blocare 403 dacă domeniul nu există în map ȘI nu este o cerere ACME
 http-request deny deny_status 403 if ! { var(txn.backend) -m found } !is_acme
 
 # Rutare: Trimite către backend-ul identificat în map
 use_backend %[var(txn.backend)] if { var(txn.backend) -m found }
 
 # Fallback obligatoriu pentru procesarea automată a certificatelor ACME generate în ISPConfig
 default_backend be_vm1_http
 
 # FRONTEND HTTPS - Port 443 (SSL Passthrough transparent pe bază de SNI)
 
 frontend fe_https
 bind *:443
 mode tcp
 
 # Inspectează pachetele inițiale TCP pentru a citi header-ul TLS nesecurizat
 tcp-request inspect-delay 5s
 tcp-request content accept if { req.ssl_hello_type 1 }
 
 # Rutare Layer 4 bazată pe SNI-ul extras din handshake-ul TLS potrivit în map-ul HTTPS
 use_backend %[req.ssl_sni,lower,map(/etc/haproxy/maps/web-https.map)]
 
 # Dacă domeniul accesat prin TLS nu există în map, conexiunea este respinsă direct
 default_backend be_https_deny
 
</code>

==== Configurare Backend ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> # nano /etc/haproxy/conf.d/websites.cfg
 
 # DEFINIRE BACKEND-URI SERVERE VIRTUALE
 
 # BACKEND-URI VM1 (192.168.14.11)
 backend be_vm1_http
 mode http
 server vm1_web 192.168.14.11:80 check
 
 backend be_vm1_https
 mode tcp
 server vm1_ssl 192.168.14.11:443 check
 
 # BACKEND-URI VM2 (192.168.14.22)
 backend be_vm2_http
 mode http
 server vm2_web 192.168.14.22:80 check
 
 backend be_vm2_https
 mode tcp
 server vm2_ssl 192.168.14.22:443 check
 
 # BACKEND-URI VM3 (192.168.14.33)
 backend be_vm3_http
 mode http
 server vm3_web 192.168.14.33:80 check
 
 backend be_vm3_https
 mode tcp
 server vm3_ssl 192.168.14.33:443 check
 
 # BACKEND SIGURANȚĂ (DENY)
 backend be_https_deny
 mode tcp
</code>

=== Structură Fișiere Mapare Dinamică ===

Pentru a evita modificarea continuă a fișierului principal de configurare la adăugarea de noi domenii, folosim fișiere de mapare de tip cheie-valoare (*.map).

==== Fișier Mapare HTTP (Port 80) ====
<code class="mw-code mw-highlight plainlinks" style="display:block"> # nano /etc/haproxy/maps/web-http.map
 # VM1 - 192.168.1.11
 domeniu.eu be_vm1_http
 sub.domeniu.eu be_vm1_http
 # VM2 - 192.168.1.22
 domeniu.com be_vm2_http
 sub.domeniu.com be_vm2_http
 # VM3 - 192.168.1.33
 domeniu.ro be_vm3_http
 sub.domeniu.ro be_vm3_http
</code>

==== Fișier Mapare HTTPS (Port 443) ====
<code class="mw-code mw-highlight plainlinks" style="display:block"> # nano /etc/haproxy/maps/web-https.map
 # VM1 - 192.168.1.11
 domeniu.eu be_vm1_https
 sub.domeniu.eu be_vm1_https
 # VM2 - 192.168.1.22
 domeniu.com be_vm2_https
 sub.domeniu.com be_vm2_https
 # VM3 - 192.168.1.33
 domeniu.ro be_vm3_https
 sub.domeniu.ro be_vm3_https
</code>

=== Integrare Modulară în Systemd (conf.d) ===

Pentru ca HAProxy să încarce automat toate fișierele de configurare din directorul secundar <tt>conf.d/</tt>, trebuie modificat scriptul de pornire al serviciului în Systemd.

==== Modificarea fișierului de serviciu ====

Caută linia implicită de pornire și comenteaz-o
Adaugă direct sub ea noua instrucțiune care include ambele căi de configurare ("haproxy.cfg" și directorul "conf.d/").

<code class="mw-code mw-highlight plainlinks" style="display:block"> # nano /usr/lib/systemd/system/haproxy.service
 
 # ExecStart=/usr/sbin/haproxy -Ws -f $CONFIG -p $PIDFILE $EXTRAOPTS
 ExecStart=/usr/sbin/haproxy -Ws -f /etc/haproxy/haproxy.cfg -f /etc/haproxy/conf.d/ -p /run/haproxy.pid
</code>

==== Reîncărcarea și Aplicarea Modificărilor ====
<code class="mw-code mw-highlight plainlinks" style="display:block"> # systemctl daemon-reload
 # systemctl restart haproxy
</code>

==== Managementul Configurării ====

Unul dintre marile avantaje ale acestei arhitecturi este capacitatea de a aplica modificări fără a întrerupe sesiunile HTTP/HTTPS active ale utilizatorilor (Zero-Downtime).

<code class="mw-code mw-highlight plainlinks" style="display:block"> # haproxy -c -f /etc/haproxy/haproxy.cfg -f /etc/haproxy/conf.d/ # Validarea sintaxei
 # systemctl reload haproxy # Reîncărcarea serviciului cu noua configurare
</code>

== HAProxy pentru Baze de Date (MySQL / MariaDB) ==

Această secțiune descrie configurarea HAProxy în Modul TCP (Layer 4) pentru baze de date. Deoarece MySQL/MariaDB folosește un protocol binar propriu, HAProxy nu va inspecta conținutul pachetelor, ci doar va ruta conexiunile la nivel de port.

=== Prerechizite: Utilizatorul de Health Check ===

Pentru ca HAProxy să poată verifica dacă serverele MySQL sunt "vii" (fără a deschide doar portul TCP orbește), trebuie creat un utilizator fără parole și fără privilegii pe serverul de baze de date.

Fișierul principal:
<code class="mw-code mw-highlight plainlinks" style="display:block"> CREATE USER 'haproxy_check'@'IP_SERVER_HAPROXY';
 FLUSH PRIVILEGES;
</code>

HAProxy

2026-10-22T12:07:07Z

Wikiadmin: /* Managementul Configurării: Restart vs Reload */

== HAProxy - Load Balancing Standard (Grup Unic Backend) ==
[[File:HAProxy.png|782x616px|none|HAProxy]]
=== Instalare HAProxy ===
La instalare HAProxy activează serviciul systemd.
<code class="mw-code mw-highlight plainlinks" style="display:block"> # apt -y install haproxy
</code>

=== Structura fișierului de configurare ===

Fișierul principal:
<code class="mw-code mw-highlight plainlinks" style="display:block"> # nano /etc/haproxy/haproxy.cfg
</code>

Configurația este împărțită în:
* global – setări pentru procesul HAProxy
* defaults – setări implicite pentru toate secțiunile
* frontend – puncte de intrare pentru trafic
* backend – serverele către care se trimite traficul

==== Secțiunea global ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> global
 log /dev/log local0
 log /dev/log local1 notice
 maxconn 4096
 user haproxy
 group haproxy
 daemon
</code>

* log /dev/log local0 – trimite logurile către syslog.
* log /dev/log local1 notice – al doilea canal de log, nivel minim notice.
* maxconn 4096 – număr maxim de conexiuni simultane.
* user/group haproxy – rulează cu userul de sistem haproxy.
* daemon – rulează în background.

==== Secțiunea defaults ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> defaults
 log global
 mode http
 option httplog
 option dontlognull
 timeout connect 5s
 timeout client 30s
 timeout server 30s
</code>
* log global – folosește setările din secțiunea global.
* mode http – modul implicit pentru frontend/backend.*
* option httplog – loguri detaliate HTTP.
* option dontlognull – nu loghează conexiuni goale.
* timeout connect/client/server – limite de timp pentru conexiuni.
 * Dacă un frontend sau backend are propriul mode (ex: mode tcp), acesta suprascrie automat valoarea din defaults

==== Frontend HTTP (port 80) ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> frontend http_in
 bind *:80
 mode http
 option forwardfor
 default_backend http_webserver
</code>

* bind *:80 – ascultă pe portul 80.
* mode http – procesează header-ele HTTP.
* option forwardfor – adaugă X‑Forwarded‑For cu IP-ul real al clientului.
* default_backend http_webserver – trimite traficul către backend-ul HTTP.

==== Backend HTTP ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> backend http_webserver
 mode http
 balance leastconn
 option httpchk GET /
 server vm01 192.168.14.11:80 check
 server vm02 192.168.14.22:80 check
 server vm03 192.168.14.33:80 check
</code>

* mode http – backend-ul procesează HTTP.
* balance leastconn – trimite traficul către serverul cu cele mai puține conexiuni active.
* option httpchk GET / – health-check HTTP.
* server vm01/vm02/vm03 – cele trei VM.

=== HTTPS (port 443) cu SSL Termination în HAProxy ===

În această situaţie HAProxy gestionează certificatul.

==== Generare certificat Let’s Encrypt ====

Necesită port 80 public și domeniu valid. 
Certbot, în modul --standalone, pornește un mini‑webserver intern pe portul 80 pentru a răspunde la challenge-ul HTTP‑01 de la Let’s Encrypt. 
Dacă HAProxy este pornit, acesta ocupă portul 80 și Certbot nu poate porni serverul de validare, ceea ce duce la eșecul generării certificatului.

'''Instalare certbot'''

<code class="mw-code mw-highlight plainlinks" style="display:block"> apt -y install certbot
</code>

'''Oprire temporară HAProxy'''

<code class="mw-code mw-highlight plainlinks" style="display:block"> systemctl stop haproxy
</code>

'''Generare certificat'''

<code class="mw-code mw-highlight plainlinks" style="display:block"> certbot certonly --standalone -d wiki.stradivart.ro
</code>

'''Creare fișier PEM pentru HAProxy'''

<code class="mw-code mw-highlight plainlinks" style="display:block"> # mkdir -p /etc/haproxy/certs
 # cat /etc/letsencrypt/live/wiki.stradivart.ro/fullchain.pem \
 /etc/letsencrypt/live/wiki.stradivart.ro/privkey.pem \
 > /etc/haproxy/certs/wiki.stradivart.ro.pem
 # chmod 600 /etc/haproxy/certs/wiki.stradivart.ro.pem
</code>

==== Frontend HTTPS (SSL termination) ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> frontend https_in
 bind *:443 ssl crt /etc/haproxy/certs/wiki.stradivart.ro.pem
 mode http
 option forwardfor
 default_backend http_webserver
</code>
* *bind :443 ssl crt ... – HAProxy decriptează SSL.
* mode http – traficul devine HTTP după terminarea SSL.
* default_backend http_webserver – backend-ul HTTP unic.

==== Backend HTTPS (SSL termination) ====

În cazul SSL termination, backend-ul nu procesează trafic HTTPS. 
HAProxy decriptează SSL în frontend, iar backend-ul primește trafic HTTP normal (non‑SSL). 
De aceea backend-ul este identic cu backend-ul HTTP.

<code class="mw-code mw-highlight plainlinks" style="display:block"> backend http_webserver
 mode http
 balance leastconn
 option httpchk GET /
 server vm01 192.168.14.11:80 check
 server vm02 192.168.14.22:80 check
 server vm03 192.168.14.33:80 check
</code>

* mode http – backend-ul procesează HTTP.
* balance leastconn – trimite traficul către serverul cu cele mai puține conexiuni active.
* option httpchk GET / – health-check HTTP.
* server vm01/vm02/vm03 – cele trei VM.

=== HTTPS (port 443) cu SSL Passthrough ===

Webserver-ul gestionează certificatul. HAProxy doar forward-ează pachetele SSL.

==== Frontend HTTPS (SSL passthrough) ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> frontend https_in
 bind *:443
 mode tcp
 default_backend httpS_webserver
</code>

* *bind :443 – ascultă pe portul 443.
* mode tcp – HAProxy nu decriptează SSL.
* default_backend httpS_webserver – backend separat în modul TCP.

==== Backend HTTPS (SSL passthrough) ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> backend httpS_webserver
 mode tcp
 balance leastconn
 server vm01 192.168.14.11:443 check
 server vm02 192.168.14.22:443 check
 server vm03 192.168.14.33:443 check
</code>

* mode tcp – forward transparent al pachetelor SSL.
* balance leastconn – distribuție inteligentă.
* server vm01/vm02/vm03 – VM-urile ISPConfig.

=== Frontend HTTP (port 80) - ACME Challenge ===

Această secțiune descrie configurarea HAProxy pentru a permite generarea certificatelor Let’s Encrypt în ISPConfig atunci când HAProxy funcționează în modul SSL Passthrough.
Pentru validarea HTTP‑01, traficul către /.well-known/acme-challenge/ trebuie direcționat către backend-ul HTTP al ISPConfig.

==== Frontend HTTP (ACME Challenge Forwarding) ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> frontend http_in
 bind *:80
 mode http
 acl letsencrypt-acl path_beg /.well-known/acme-challenge/
 use_backend letsencrypt-backend if letsencrypt-acl
 default_backend ispconfig_http
</code>

* acl letsencrypt-acl path_beg - detectăm cererile ACME challenge
* use_backend - Forward ACME challenge către backend-ul dedicat
* default_backend - Restul traficului HTTP merge către backend-ul HTTP normal

==== Backend HTTP (ACME Challenge Forwarding) ====

Backend dedicat pentru Let’s Encrypt.
Acesta trebuie să trimită cererile către portul 80 al serverrelor ISPConfig.

<code class="mw-code mw-highlight plainlinks" style="display:block"> backend letsencrypt-backend
 mode http
 server isp1 192.168.14.11:80 check
 server isp2 192.168.14.22:80 check
 server isp3 192.168.14.33:80 check
</code>

==== Backend HTTP (trafic normal) ====

Backend-ul standard pentru HTTP (port 80), folosit pentru redirectări, panel ISPConfig, sau site-uri HTTP.

<code class="mw-code mw-highlight plainlinks" style="display:block"> backend ispconfig_http
 mode http
 balance roundrobin
 option httpchk GET /
 server isp1 192.168.14.11:80 check
 server isp2 192.168.14.22:80 check
 server isp3 192.168.14.33:80 check
</code>

=== Pagina de statistici HAProxy ===

<code class="mw-code mw-highlight plainlinks" style="display:block"> listen stats
 bind *:9000
 mode http
 stats enable
 stats uri /stats
 stats refresh 5s
 stats auth admin:pass123
</code>

* *bind :9000 – port dedicat pentru statistici.
* stats uri /stats – URL-ul paginii.
* stats auth – autentificare basic HTTP.

==== Accesare pagina de statistici ====
http://192.168.14.123:9000/stats

[[File:HAProxy stats.png|782x616px|none|HAProxy_stats]]

==== Ansible playbook pentru configurare ====

===== Fişiere necesare =====

{| class="responsive-three-cols"
|-
| class="col" style="vertical-align:middle; text-align:center; padding:15px;" |

[[File:Filethumb.png|thumb|right|link=Media:Inventory.ini|Descarcă fișierul de inventar si variabile]]

| class="col" style="vertical-align:middle; text-align:center; padding:15px;" |

[[File:Filethumb.png|thumb|right|link=Media:Haproxy.yaml|Descarcă fișierul de instalare și configurare iniţială]]

| class="col" style="vertical-align:middle; text-align:center; padding:15px;" |

[[File:Filethumb.png|thumb|right|link=Media:Haproxy-conf.yaml|Descarcă fișierul de actualizare a configurării]]

|}

===== Instalarea HAProxy si configurarea primului frontend şi backend =====

<code class="mw-code mw-highlight plainlinks" style="display:block"> # ansible-playbook -i /path/to/Inventory.ini /path/to/Haproxy.yaml
</code>

===== Confingurarea frontend şi backend pentru HAProxy =====

<code class="mw-code mw-highlight plainlinks" style="display:block"> # ansible-playbook -i /path/to/Inventory.ini /path/to/Haproxy-conf.yaml
</code>

== HAProxy cu SSL Passthrough și Mapări Dinamice Layer 7 ==
[[File:haproxyLayer7.png|782x616px|none|HAProxy Layer7]]

Acest scenariu avansat descrie configurarea HAProxy ca un "Router Layer 7 (Content-Based Switch)". Această arhitectură permite consolidarea mai multor domenii și subdomenii complet diferite pe un singur IP public extern, rutând traficul dinamic către mașini virtuale (backend-uri) separate, fără ca HAProxy să decripteze traficul SSL/TLS (SSL Passthrough).

=== Configurare Frontend-uri și Backend-uri Modulare ===

Fișierele sunt stocate modular în directorul inclus secundar (`conf.d/`).

==== Configurare Frontend ====

Fișierele sunt stocate modular în directorul inclus secundar (`conf.d/`).

<code class="mw-code mw-highlight plainlinks" style="display:block"> # nano /etc/haproxy/conf.d/websites.cfg
 
 # FRONTEND HTTP - Port 80 (Cu suport ACME Challenge integrat dinamic)
 
 frontend fe_http
 bind *:80
 mode http
 
 # Extrage stringul curat al domeniului (taie portul :80 trimis de unele browsere)
 http-request set-var(txn.backend) req.hdr(host),field(1,:),lower,map(/etc/haproxy/maps/web-http.map)
 
 # Detecție trafic ACME Challenge (Let's Encrypt / ISPConfig)
 acl is_acme path_beg /.well-known/acme-challenge/
 
 # Securitate: Blocare 403 dacă domeniul nu există în map ȘI nu este o cerere ACME
 http-request deny deny_status 403 if ! { var(txn.backend) -m found } !is_acme
 
 # Rutare: Trimite către backend-ul identificat în map
 use_backend %[var(txn.backend)] if { var(txn.backend) -m found }
 
 # Fallback obligatoriu pentru procesarea automată a certificatelor ACME generate în ISPConfig
 default_backend be_vm1_http
 
 # FRONTEND HTTPS - Port 443 (SSL Passthrough transparent pe bază de SNI)
 
 frontend fe_https
 bind *:443
 mode tcp
 
 # Inspectează pachetele inițiale TCP pentru a citi header-ul TLS nesecurizat
 tcp-request inspect-delay 5s
 tcp-request content accept if { req.ssl_hello_type 1 }
 
 # Rutare Layer 4 bazată pe SNI-ul extras din handshake-ul TLS potrivit în map-ul HTTPS
 use_backend %[req.ssl_sni,lower,map(/etc/haproxy/maps/web-https.map)]
 
 # Dacă domeniul accesat prin TLS nu există în map, conexiunea este respinsă direct
 default_backend be_https_deny
 
</code>

==== Configurare Backend ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> # nano /etc/haproxy/conf.d/websites.cfg
 
 # DEFINIRE BACKEND-URI SERVERE VIRTUALE
 
 # BACKEND-URI VM1 (192.168.14.11)
 backend be_vm1_http
 mode http
 server vm1_web 192.168.14.11:80 check
 
 backend be_vm1_https
 mode tcp
 server vm1_ssl 192.168.14.11:443 check
 
 # BACKEND-URI VM2 (192.168.14.22)
 backend be_vm2_http
 mode http
 server vm2_web 192.168.14.22:80 check
 
 backend be_vm2_https
 mode tcp
 server vm2_ssl 192.168.14.22:443 check
 
 # BACKEND-URI VM3 (192.168.14.33)
 backend be_vm3_http
 mode http
 server vm3_web 192.168.14.33:80 check
 
 backend be_vm3_https
 mode tcp
 server vm3_ssl 192.168.14.33:443 check
 
 # BACKEND SIGURANȚĂ (DENY)
 backend be_https_deny
 mode tcp
</code>

=== Structură Fișiere Mapare Dinamică ===

Pentru a evita modificarea continuă a fișierului principal de configurare la adăugarea de noi domenii, folosim fișiere de mapare de tip cheie-valoare (*.map).

==== Fișier Mapare HTTP (Port 80) ====
<code class="mw-code mw-highlight plainlinks" style="display:block"> # nano /etc/haproxy/maps/web-http.map
 # VM1 - 192.168.1.11
 domeniu.eu be_vm1_http
 sub.domeniu.eu be_vm1_http
 # VM2 - 192.168.1.22
 domeniu.com be_vm2_http
 sub.domeniu.com be_vm2_http
 # VM3 - 192.168.1.33
 domeniu.ro be_vm3_http
 sub.domeniu.ro be_vm3_http
</code>

==== Fișier Mapare HTTPS (Port 443) ====
<code class="mw-code mw-highlight plainlinks" style="display:block"> # nano /etc/haproxy/maps/web-https.map
 # VM1 - 192.168.1.11
 domeniu.eu be_vm1_https
 sub.domeniu.eu be_vm1_https
 # VM2 - 192.168.1.22
 domeniu.com be_vm2_https
 sub.domeniu.com be_vm2_https
 # VM3 - 192.168.1.33
 domeniu.ro be_vm3_https
 sub.domeniu.ro be_vm3_https
</code>

=== Integrare Modulară în Systemd (conf.d) ===

Pentru ca HAProxy să încarce automat toate fișierele de configurare din directorul secundar <tt>conf.d/</tt>, trebuie modificat scriptul de pornire al serviciului în Systemd.

==== Modificarea fișierului de serviciu ====

Caută linia implicită de pornire și comenteaz-o
Adaugă direct sub ea noua instrucțiune care include ambele căi de configurare ("haproxy.cfg" și directorul "conf.d/").

<code class="mw-code mw-highlight plainlinks" style="display:block"> # nano /usr/lib/systemd/system/haproxy.service
 
 # ExecStart=/usr/sbin/haproxy -Ws -f $CONFIG -p $PIDFILE $EXTRAOPTS
 ExecStart=/usr/sbin/haproxy -Ws -f /etc/haproxy/haproxy.cfg -f /etc/haproxy/conf.d/ -p /run/haproxy.pid
</code>

==== Reîncărcarea și Aplicarea Modificărilor ====
<code class="mw-code mw-highlight plainlinks" style="display:block"> # systemctl daemon-reload
 # systemctl restart haproxy
</code>

==== Managementul Configurării ====

Unul dintre marile avantaje ale acestei arhitecturi este capacitatea de a aplica modificări fără a întrerupe sesiunile HTTP/HTTPS active ale utilizatorilor (Zero-Downtime).

<code class="mw-code mw-highlight plainlinks" style="display:block"> # haproxy -c -f /etc/haproxy/haproxy.cfg -f /etc/haproxy/conf.d/ # Validarea sintaxei
 # systemctl reload haproxy # Reîncărcarea serviciului cu noua configurare
</code>

HAProxy

2026-10-22T12:05:56Z

Wikiadmin: /* Reîncărcarea și Aplicarea Modificărilor */

== HAProxy - Load Balancing Standard (Grup Unic Backend) ==
[[File:HAProxy.png|782x616px|none|HAProxy]]
=== Instalare HAProxy ===
La instalare HAProxy activează serviciul systemd.
<code class="mw-code mw-highlight plainlinks" style="display:block"> # apt -y install haproxy
</code>

=== Structura fișierului de configurare ===

Fișierul principal:
<code class="mw-code mw-highlight plainlinks" style="display:block"> # nano /etc/haproxy/haproxy.cfg
</code>

Configurația este împărțită în:
* global – setări pentru procesul HAProxy
* defaults – setări implicite pentru toate secțiunile
* frontend – puncte de intrare pentru trafic
* backend – serverele către care se trimite traficul

==== Secțiunea global ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> global
 log /dev/log local0
 log /dev/log local1 notice
 maxconn 4096
 user haproxy
 group haproxy
 daemon
</code>

* log /dev/log local0 – trimite logurile către syslog.
* log /dev/log local1 notice – al doilea canal de log, nivel minim notice.
* maxconn 4096 – număr maxim de conexiuni simultane.
* user/group haproxy – rulează cu userul de sistem haproxy.
* daemon – rulează în background.

==== Secțiunea defaults ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> defaults
 log global
 mode http
 option httplog
 option dontlognull
 timeout connect 5s
 timeout client 30s
 timeout server 30s
</code>
* log global – folosește setările din secțiunea global.
* mode http – modul implicit pentru frontend/backend.*
* option httplog – loguri detaliate HTTP.
* option dontlognull – nu loghează conexiuni goale.
* timeout connect/client/server – limite de timp pentru conexiuni.
 * Dacă un frontend sau backend are propriul mode (ex: mode tcp), acesta suprascrie automat valoarea din defaults

==== Frontend HTTP (port 80) ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> frontend http_in
 bind *:80
 mode http
 option forwardfor
 default_backend http_webserver
</code>

* bind *:80 – ascultă pe portul 80.
* mode http – procesează header-ele HTTP.
* option forwardfor – adaugă X‑Forwarded‑For cu IP-ul real al clientului.
* default_backend http_webserver – trimite traficul către backend-ul HTTP.

==== Backend HTTP ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> backend http_webserver
 mode http
 balance leastconn
 option httpchk GET /
 server vm01 192.168.14.11:80 check
 server vm02 192.168.14.22:80 check
 server vm03 192.168.14.33:80 check
</code>

* mode http – backend-ul procesează HTTP.
* balance leastconn – trimite traficul către serverul cu cele mai puține conexiuni active.
* option httpchk GET / – health-check HTTP.
* server vm01/vm02/vm03 – cele trei VM.

=== HTTPS (port 443) cu SSL Termination în HAProxy ===

În această situaţie HAProxy gestionează certificatul.

==== Generare certificat Let’s Encrypt ====

Necesită port 80 public și domeniu valid. 
Certbot, în modul --standalone, pornește un mini‑webserver intern pe portul 80 pentru a răspunde la challenge-ul HTTP‑01 de la Let’s Encrypt. 
Dacă HAProxy este pornit, acesta ocupă portul 80 și Certbot nu poate porni serverul de validare, ceea ce duce la eșecul generării certificatului.

'''Instalare certbot'''

<code class="mw-code mw-highlight plainlinks" style="display:block"> apt -y install certbot
</code>

'''Oprire temporară HAProxy'''

<code class="mw-code mw-highlight plainlinks" style="display:block"> systemctl stop haproxy
</code>

'''Generare certificat'''

<code class="mw-code mw-highlight plainlinks" style="display:block"> certbot certonly --standalone -d wiki.stradivart.ro
</code>

'''Creare fișier PEM pentru HAProxy'''

<code class="mw-code mw-highlight plainlinks" style="display:block"> # mkdir -p /etc/haproxy/certs
 # cat /etc/letsencrypt/live/wiki.stradivart.ro/fullchain.pem \
 /etc/letsencrypt/live/wiki.stradivart.ro/privkey.pem \
 > /etc/haproxy/certs/wiki.stradivart.ro.pem
 # chmod 600 /etc/haproxy/certs/wiki.stradivart.ro.pem
</code>

==== Frontend HTTPS (SSL termination) ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> frontend https_in
 bind *:443 ssl crt /etc/haproxy/certs/wiki.stradivart.ro.pem
 mode http
 option forwardfor
 default_backend http_webserver
</code>
* *bind :443 ssl crt ... – HAProxy decriptează SSL.
* mode http – traficul devine HTTP după terminarea SSL.
* default_backend http_webserver – backend-ul HTTP unic.

==== Backend HTTPS (SSL termination) ====

În cazul SSL termination, backend-ul nu procesează trafic HTTPS. 
HAProxy decriptează SSL în frontend, iar backend-ul primește trafic HTTP normal (non‑SSL). 
De aceea backend-ul este identic cu backend-ul HTTP.

<code class="mw-code mw-highlight plainlinks" style="display:block"> backend http_webserver
 mode http
 balance leastconn
 option httpchk GET /
 server vm01 192.168.14.11:80 check
 server vm02 192.168.14.22:80 check
 server vm03 192.168.14.33:80 check
</code>

* mode http – backend-ul procesează HTTP.
* balance leastconn – trimite traficul către serverul cu cele mai puține conexiuni active.
* option httpchk GET / – health-check HTTP.
* server vm01/vm02/vm03 – cele trei VM.

=== HTTPS (port 443) cu SSL Passthrough ===

Webserver-ul gestionează certificatul. HAProxy doar forward-ează pachetele SSL.

==== Frontend HTTPS (SSL passthrough) ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> frontend https_in
 bind *:443
 mode tcp
 default_backend httpS_webserver
</code>

* *bind :443 – ascultă pe portul 443.
* mode tcp – HAProxy nu decriptează SSL.
* default_backend httpS_webserver – backend separat în modul TCP.

==== Backend HTTPS (SSL passthrough) ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> backend httpS_webserver
 mode tcp
 balance leastconn
 server vm01 192.168.14.11:443 check
 server vm02 192.168.14.22:443 check
 server vm03 192.168.14.33:443 check
</code>

* mode tcp – forward transparent al pachetelor SSL.
* balance leastconn – distribuție inteligentă.
* server vm01/vm02/vm03 – VM-urile ISPConfig.

=== Frontend HTTP (port 80) - ACME Challenge ===

Această secțiune descrie configurarea HAProxy pentru a permite generarea certificatelor Let’s Encrypt în ISPConfig atunci când HAProxy funcționează în modul SSL Passthrough.
Pentru validarea HTTP‑01, traficul către /.well-known/acme-challenge/ trebuie direcționat către backend-ul HTTP al ISPConfig.

==== Frontend HTTP (ACME Challenge Forwarding) ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> frontend http_in
 bind *:80
 mode http
 acl letsencrypt-acl path_beg /.well-known/acme-challenge/
 use_backend letsencrypt-backend if letsencrypt-acl
 default_backend ispconfig_http
</code>

* acl letsencrypt-acl path_beg - detectăm cererile ACME challenge
* use_backend - Forward ACME challenge către backend-ul dedicat
* default_backend - Restul traficului HTTP merge către backend-ul HTTP normal

==== Backend HTTP (ACME Challenge Forwarding) ====

Backend dedicat pentru Let’s Encrypt.
Acesta trebuie să trimită cererile către portul 80 al serverrelor ISPConfig.

<code class="mw-code mw-highlight plainlinks" style="display:block"> backend letsencrypt-backend
 mode http
 server isp1 192.168.14.11:80 check
 server isp2 192.168.14.22:80 check
 server isp3 192.168.14.33:80 check
</code>

==== Backend HTTP (trafic normal) ====

Backend-ul standard pentru HTTP (port 80), folosit pentru redirectări, panel ISPConfig, sau site-uri HTTP.

<code class="mw-code mw-highlight plainlinks" style="display:block"> backend ispconfig_http
 mode http
 balance roundrobin
 option httpchk GET /
 server isp1 192.168.14.11:80 check
 server isp2 192.168.14.22:80 check
 server isp3 192.168.14.33:80 check
</code>

=== Pagina de statistici HAProxy ===

<code class="mw-code mw-highlight plainlinks" style="display:block"> listen stats
 bind *:9000
 mode http
 stats enable
 stats uri /stats
 stats refresh 5s
 stats auth admin:pass123
</code>

* *bind :9000 – port dedicat pentru statistici.
* stats uri /stats – URL-ul paginii.
* stats auth – autentificare basic HTTP.

==== Accesare pagina de statistici ====
http://192.168.14.123:9000/stats

[[File:HAProxy stats.png|782x616px|none|HAProxy_stats]]

==== Ansible playbook pentru configurare ====

===== Fişiere necesare =====

{| class="responsive-three-cols"
|-
| class="col" style="vertical-align:middle; text-align:center; padding:15px;" |

[[File:Filethumb.png|thumb|right|link=Media:Inventory.ini|Descarcă fișierul de inventar si variabile]]

| class="col" style="vertical-align:middle; text-align:center; padding:15px;" |

[[File:Filethumb.png|thumb|right|link=Media:Haproxy.yaml|Descarcă fișierul de instalare și configurare iniţială]]

| class="col" style="vertical-align:middle; text-align:center; padding:15px;" |

[[File:Filethumb.png|thumb|right|link=Media:Haproxy-conf.yaml|Descarcă fișierul de actualizare a configurării]]

|}

===== Instalarea HAProxy si configurarea primului frontend şi backend =====

<code class="mw-code mw-highlight plainlinks" style="display:block"> # ansible-playbook -i /path/to/Inventory.ini /path/to/Haproxy.yaml
</code>

===== Confingurarea frontend şi backend pentru HAProxy =====

<code class="mw-code mw-highlight plainlinks" style="display:block"> # ansible-playbook -i /path/to/Inventory.ini /path/to/Haproxy-conf.yaml
</code>

== HAProxy cu SSL Passthrough și Mapări Dinamice Layer 7 ==
[[File:haproxyLayer7.png|782x616px|none|HAProxy Layer7]]

Acest scenariu avansat descrie configurarea HAProxy ca un "Router Layer 7 (Content-Based Switch)". Această arhitectură permite consolidarea mai multor domenii și subdomenii complet diferite pe un singur IP public extern, rutând traficul dinamic către mașini virtuale (backend-uri) separate, fără ca HAProxy să decripteze traficul SSL/TLS (SSL Passthrough).

=== Configurare Frontend-uri și Backend-uri Modulare ===

Fișierele sunt stocate modular în directorul inclus secundar (`conf.d/`).

==== Configurare Frontend ====

Fișierele sunt stocate modular în directorul inclus secundar (`conf.d/`).

<code class="mw-code mw-highlight plainlinks" style="display:block"> # nano /etc/haproxy/conf.d/websites.cfg
 
 # FRONTEND HTTP - Port 80 (Cu suport ACME Challenge integrat dinamic)
 
 frontend fe_http
 bind *:80
 mode http
 
 # Extrage stringul curat al domeniului (taie portul :80 trimis de unele browsere)
 http-request set-var(txn.backend) req.hdr(host),field(1,:),lower,map(/etc/haproxy/maps/web-http.map)
 
 # Detecție trafic ACME Challenge (Let's Encrypt / ISPConfig)
 acl is_acme path_beg /.well-known/acme-challenge/
 
 # Securitate: Blocare 403 dacă domeniul nu există în map ȘI nu este o cerere ACME
 http-request deny deny_status 403 if ! { var(txn.backend) -m found } !is_acme
 
 # Rutare: Trimite către backend-ul identificat în map
 use_backend %[var(txn.backend)] if { var(txn.backend) -m found }
 
 # Fallback obligatoriu pentru procesarea automată a certificatelor ACME generate în ISPConfig
 default_backend be_vm1_http
 
 # FRONTEND HTTPS - Port 443 (SSL Passthrough transparent pe bază de SNI)
 
 frontend fe_https
 bind *:443
 mode tcp
 
 # Inspectează pachetele inițiale TCP pentru a citi header-ul TLS nesecurizat
 tcp-request inspect-delay 5s
 tcp-request content accept if { req.ssl_hello_type 1 }
 
 # Rutare Layer 4 bazată pe SNI-ul extras din handshake-ul TLS potrivit în map-ul HTTPS
 use_backend %[req.ssl_sni,lower,map(/etc/haproxy/maps/web-https.map)]
 
 # Dacă domeniul accesat prin TLS nu există în map, conexiunea este respinsă direct
 default_backend be_https_deny
 
</code>

==== Configurare Backend ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> # nano /etc/haproxy/conf.d/websites.cfg
 
 # DEFINIRE BACKEND-URI SERVERE VIRTUALE
 
 # BACKEND-URI VM1 (192.168.14.11)
 backend be_vm1_http
 mode http
 server vm1_web 192.168.14.11:80 check
 
 backend be_vm1_https
 mode tcp
 server vm1_ssl 192.168.14.11:443 check
 
 # BACKEND-URI VM2 (192.168.14.22)
 backend be_vm2_http
 mode http
 server vm2_web 192.168.14.22:80 check
 
 backend be_vm2_https
 mode tcp
 server vm2_ssl 192.168.14.22:443 check
 
 # BACKEND-URI VM3 (192.168.14.33)
 backend be_vm3_http
 mode http
 server vm3_web 192.168.14.33:80 check
 
 backend be_vm3_https
 mode tcp
 server vm3_ssl 192.168.14.33:443 check
 
 # BACKEND SIGURANȚĂ (DENY)
 backend be_https_deny
 mode tcp
</code>

=== Structură Fișiere Mapare Dinamică ===

Pentru a evita modificarea continuă a fișierului principal de configurare la adăugarea de noi domenii, folosim fișiere de mapare de tip cheie-valoare (*.map).

==== Fișier Mapare HTTP (Port 80) ====
<code class="mw-code mw-highlight plainlinks" style="display:block"> # nano /etc/haproxy/maps/web-http.map
 # VM1 - 192.168.1.11
 domeniu.eu be_vm1_http
 sub.domeniu.eu be_vm1_http
 # VM2 - 192.168.1.22
 domeniu.com be_vm2_http
 sub.domeniu.com be_vm2_http
 # VM3 - 192.168.1.33
 domeniu.ro be_vm3_http
 sub.domeniu.ro be_vm3_http
</code>

==== Fișier Mapare HTTPS (Port 443) ====
<code class="mw-code mw-highlight plainlinks" style="display:block"> # nano /etc/haproxy/maps/web-https.map
 # VM1 - 192.168.1.11
 domeniu.eu be_vm1_https
 sub.domeniu.eu be_vm1_https
 # VM2 - 192.168.1.22
 domeniu.com be_vm2_https
 sub.domeniu.com be_vm2_https
 # VM3 - 192.168.1.33
 domeniu.ro be_vm3_https
 sub.domeniu.ro be_vm3_https
</code>

=== Integrare Modulară în Systemd (conf.d) ===

Pentru ca HAProxy să încarce automat toate fișierele de configurare din directorul secundar <tt>conf.d/</tt>, trebuie modificat scriptul de pornire al serviciului în Systemd.

==== Modificarea fișierului de serviciu ====

Caută linia implicită de pornire și comenteaz-o
Adaugă direct sub ea noua instrucțiune care include ambele căi de configurare ("haproxy.cfg" și directorul "conf.d/").

<code class="mw-code mw-highlight plainlinks" style="display:block"> # nano /usr/lib/systemd/system/haproxy.service
 
 # ExecStart=/usr/sbin/haproxy -Ws -f $CONFIG -p $PIDFILE $EXTRAOPTS
 ExecStart=/usr/sbin/haproxy -Ws -f /etc/haproxy/haproxy.cfg -f /etc/haproxy/conf.d/ -p /run/haproxy.pid
</code>

==== Reîncărcarea și Aplicarea Modificărilor ====
<code class="mw-code mw-highlight plainlinks" style="display:block"> # systemctl daemon-reload
 # systemctl restart haproxy
</code>

==== Managementul Configurării: Restart vs Reload ====

Unul dintre marile avantaje ale acestei arhitecturi este capacitatea de a aplica modificări fără a întrerupe sesiunile HTTP/HTTPS active ale utilizatorilor (Zero-Downtime).

<code class="mw-code mw-highlight plainlinks" style="display:block"> # haproxy -c -f /etc/haproxy/haproxy.cfg -f /etc/haproxy/conf.d/ # Validarea sintaxei
 # systemctl reload haproxy # Reîncărcarea serviciului cu noua configurare
</code>

HAProxy

2026-10-22T12:05:18Z

Wikiadmin: /* Modificarea fișierului de serviciu */

== HAProxy - Load Balancing Standard (Grup Unic Backend) ==
[[File:HAProxy.png|782x616px|none|HAProxy]]
=== Instalare HAProxy ===
La instalare HAProxy activează serviciul systemd.
<code class="mw-code mw-highlight plainlinks" style="display:block"> # apt -y install haproxy
</code>

=== Structura fișierului de configurare ===

Fișierul principal:
<code class="mw-code mw-highlight plainlinks" style="display:block"> # nano /etc/haproxy/haproxy.cfg
</code>

Configurația este împărțită în:
* global – setări pentru procesul HAProxy
* defaults – setări implicite pentru toate secțiunile
* frontend – puncte de intrare pentru trafic
* backend – serverele către care se trimite traficul

==== Secțiunea global ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> global
 log /dev/log local0
 log /dev/log local1 notice
 maxconn 4096
 user haproxy
 group haproxy
 daemon
</code>

* log /dev/log local0 – trimite logurile către syslog.
* log /dev/log local1 notice – al doilea canal de log, nivel minim notice.
* maxconn 4096 – număr maxim de conexiuni simultane.
* user/group haproxy – rulează cu userul de sistem haproxy.
* daemon – rulează în background.

==== Secțiunea defaults ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> defaults
 log global
 mode http
 option httplog
 option dontlognull
 timeout connect 5s
 timeout client 30s
 timeout server 30s
</code>
* log global – folosește setările din secțiunea global.
* mode http – modul implicit pentru frontend/backend.*
* option httplog – loguri detaliate HTTP.
* option dontlognull – nu loghează conexiuni goale.
* timeout connect/client/server – limite de timp pentru conexiuni.
 * Dacă un frontend sau backend are propriul mode (ex: mode tcp), acesta suprascrie automat valoarea din defaults

==== Frontend HTTP (port 80) ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> frontend http_in
 bind *:80
 mode http
 option forwardfor
 default_backend http_webserver
</code>

* bind *:80 – ascultă pe portul 80.
* mode http – procesează header-ele HTTP.
* option forwardfor – adaugă X‑Forwarded‑For cu IP-ul real al clientului.
* default_backend http_webserver – trimite traficul către backend-ul HTTP.

==== Backend HTTP ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> backend http_webserver
 mode http
 balance leastconn
 option httpchk GET /
 server vm01 192.168.14.11:80 check
 server vm02 192.168.14.22:80 check
 server vm03 192.168.14.33:80 check
</code>

* mode http – backend-ul procesează HTTP.
* balance leastconn – trimite traficul către serverul cu cele mai puține conexiuni active.
* option httpchk GET / – health-check HTTP.
* server vm01/vm02/vm03 – cele trei VM.

=== HTTPS (port 443) cu SSL Termination în HAProxy ===

În această situaţie HAProxy gestionează certificatul.

==== Generare certificat Let’s Encrypt ====

Necesită port 80 public și domeniu valid. 
Certbot, în modul --standalone, pornește un mini‑webserver intern pe portul 80 pentru a răspunde la challenge-ul HTTP‑01 de la Let’s Encrypt. 
Dacă HAProxy este pornit, acesta ocupă portul 80 și Certbot nu poate porni serverul de validare, ceea ce duce la eșecul generării certificatului.

'''Instalare certbot'''

<code class="mw-code mw-highlight plainlinks" style="display:block"> apt -y install certbot
</code>

'''Oprire temporară HAProxy'''

<code class="mw-code mw-highlight plainlinks" style="display:block"> systemctl stop haproxy
</code>

'''Generare certificat'''

<code class="mw-code mw-highlight plainlinks" style="display:block"> certbot certonly --standalone -d wiki.stradivart.ro
</code>

'''Creare fișier PEM pentru HAProxy'''

<code class="mw-code mw-highlight plainlinks" style="display:block"> # mkdir -p /etc/haproxy/certs
 # cat /etc/letsencrypt/live/wiki.stradivart.ro/fullchain.pem \
 /etc/letsencrypt/live/wiki.stradivart.ro/privkey.pem \
 > /etc/haproxy/certs/wiki.stradivart.ro.pem
 # chmod 600 /etc/haproxy/certs/wiki.stradivart.ro.pem
</code>

==== Frontend HTTPS (SSL termination) ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> frontend https_in
 bind *:443 ssl crt /etc/haproxy/certs/wiki.stradivart.ro.pem
 mode http
 option forwardfor
 default_backend http_webserver
</code>
* *bind :443 ssl crt ... – HAProxy decriptează SSL.
* mode http – traficul devine HTTP după terminarea SSL.
* default_backend http_webserver – backend-ul HTTP unic.

==== Backend HTTPS (SSL termination) ====

În cazul SSL termination, backend-ul nu procesează trafic HTTPS. 
HAProxy decriptează SSL în frontend, iar backend-ul primește trafic HTTP normal (non‑SSL). 
De aceea backend-ul este identic cu backend-ul HTTP.

<code class="mw-code mw-highlight plainlinks" style="display:block"> backend http_webserver
 mode http
 balance leastconn
 option httpchk GET /
 server vm01 192.168.14.11:80 check
 server vm02 192.168.14.22:80 check
 server vm03 192.168.14.33:80 check
</code>

* mode http – backend-ul procesează HTTP.
* balance leastconn – trimite traficul către serverul cu cele mai puține conexiuni active.
* option httpchk GET / – health-check HTTP.
* server vm01/vm02/vm03 – cele trei VM.

=== HTTPS (port 443) cu SSL Passthrough ===

Webserver-ul gestionează certificatul. HAProxy doar forward-ează pachetele SSL.

==== Frontend HTTPS (SSL passthrough) ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> frontend https_in
 bind *:443
 mode tcp
 default_backend httpS_webserver
</code>

* *bind :443 – ascultă pe portul 443.
* mode tcp – HAProxy nu decriptează SSL.
* default_backend httpS_webserver – backend separat în modul TCP.

==== Backend HTTPS (SSL passthrough) ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> backend httpS_webserver
 mode tcp
 balance leastconn
 server vm01 192.168.14.11:443 check
 server vm02 192.168.14.22:443 check
 server vm03 192.168.14.33:443 check
</code>

* mode tcp – forward transparent al pachetelor SSL.
* balance leastconn – distribuție inteligentă.
* server vm01/vm02/vm03 – VM-urile ISPConfig.

=== Frontend HTTP (port 80) - ACME Challenge ===

Această secțiune descrie configurarea HAProxy pentru a permite generarea certificatelor Let’s Encrypt în ISPConfig atunci când HAProxy funcționează în modul SSL Passthrough.
Pentru validarea HTTP‑01, traficul către /.well-known/acme-challenge/ trebuie direcționat către backend-ul HTTP al ISPConfig.

==== Frontend HTTP (ACME Challenge Forwarding) ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> frontend http_in
 bind *:80
 mode http
 acl letsencrypt-acl path_beg /.well-known/acme-challenge/
 use_backend letsencrypt-backend if letsencrypt-acl
 default_backend ispconfig_http
</code>

* acl letsencrypt-acl path_beg - detectăm cererile ACME challenge
* use_backend - Forward ACME challenge către backend-ul dedicat
* default_backend - Restul traficului HTTP merge către backend-ul HTTP normal

==== Backend HTTP (ACME Challenge Forwarding) ====

Backend dedicat pentru Let’s Encrypt.
Acesta trebuie să trimită cererile către portul 80 al serverrelor ISPConfig.

<code class="mw-code mw-highlight plainlinks" style="display:block"> backend letsencrypt-backend
 mode http
 server isp1 192.168.14.11:80 check
 server isp2 192.168.14.22:80 check
 server isp3 192.168.14.33:80 check
</code>

==== Backend HTTP (trafic normal) ====

Backend-ul standard pentru HTTP (port 80), folosit pentru redirectări, panel ISPConfig, sau site-uri HTTP.

<code class="mw-code mw-highlight plainlinks" style="display:block"> backend ispconfig_http
 mode http
 balance roundrobin
 option httpchk GET /
 server isp1 192.168.14.11:80 check
 server isp2 192.168.14.22:80 check
 server isp3 192.168.14.33:80 check
</code>

=== Pagina de statistici HAProxy ===

<code class="mw-code mw-highlight plainlinks" style="display:block"> listen stats
 bind *:9000
 mode http
 stats enable
 stats uri /stats
 stats refresh 5s
 stats auth admin:pass123
</code>

* *bind :9000 – port dedicat pentru statistici.
* stats uri /stats – URL-ul paginii.
* stats auth – autentificare basic HTTP.

==== Accesare pagina de statistici ====
http://192.168.14.123:9000/stats

[[File:HAProxy stats.png|782x616px|none|HAProxy_stats]]

==== Ansible playbook pentru configurare ====

===== Fişiere necesare =====

{| class="responsive-three-cols"
|-
| class="col" style="vertical-align:middle; text-align:center; padding:15px;" |

[[File:Filethumb.png|thumb|right|link=Media:Inventory.ini|Descarcă fișierul de inventar si variabile]]

| class="col" style="vertical-align:middle; text-align:center; padding:15px;" |

[[File:Filethumb.png|thumb|right|link=Media:Haproxy.yaml|Descarcă fișierul de instalare și configurare iniţială]]

| class="col" style="vertical-align:middle; text-align:center; padding:15px;" |

[[File:Filethumb.png|thumb|right|link=Media:Haproxy-conf.yaml|Descarcă fișierul de actualizare a configurării]]

|}

===== Instalarea HAProxy si configurarea primului frontend şi backend =====

<code class="mw-code mw-highlight plainlinks" style="display:block"> # ansible-playbook -i /path/to/Inventory.ini /path/to/Haproxy.yaml
</code>

===== Confingurarea frontend şi backend pentru HAProxy =====

<code class="mw-code mw-highlight plainlinks" style="display:block"> # ansible-playbook -i /path/to/Inventory.ini /path/to/Haproxy-conf.yaml
</code>

== HAProxy cu SSL Passthrough și Mapări Dinamice Layer 7 ==
[[File:haproxyLayer7.png|782x616px|none|HAProxy Layer7]]

Acest scenariu avansat descrie configurarea HAProxy ca un "Router Layer 7 (Content-Based Switch)". Această arhitectură permite consolidarea mai multor domenii și subdomenii complet diferite pe un singur IP public extern, rutând traficul dinamic către mașini virtuale (backend-uri) separate, fără ca HAProxy să decripteze traficul SSL/TLS (SSL Passthrough).

=== Configurare Frontend-uri și Backend-uri Modulare ===

Fișierele sunt stocate modular în directorul inclus secundar (`conf.d/`).

==== Configurare Frontend ====

Fișierele sunt stocate modular în directorul inclus secundar (`conf.d/`).

<code class="mw-code mw-highlight plainlinks" style="display:block"> # nano /etc/haproxy/conf.d/websites.cfg
 
 # FRONTEND HTTP - Port 80 (Cu suport ACME Challenge integrat dinamic)
 
 frontend fe_http
 bind *:80
 mode http
 
 # Extrage stringul curat al domeniului (taie portul :80 trimis de unele browsere)
 http-request set-var(txn.backend) req.hdr(host),field(1,:),lower,map(/etc/haproxy/maps/web-http.map)
 
 # Detecție trafic ACME Challenge (Let's Encrypt / ISPConfig)
 acl is_acme path_beg /.well-known/acme-challenge/
 
 # Securitate: Blocare 403 dacă domeniul nu există în map ȘI nu este o cerere ACME
 http-request deny deny_status 403 if ! { var(txn.backend) -m found } !is_acme
 
 # Rutare: Trimite către backend-ul identificat în map
 use_backend %[var(txn.backend)] if { var(txn.backend) -m found }
 
 # Fallback obligatoriu pentru procesarea automată a certificatelor ACME generate în ISPConfig
 default_backend be_vm1_http
 
 # FRONTEND HTTPS - Port 443 (SSL Passthrough transparent pe bază de SNI)
 
 frontend fe_https
 bind *:443
 mode tcp
 
 # Inspectează pachetele inițiale TCP pentru a citi header-ul TLS nesecurizat
 tcp-request inspect-delay 5s
 tcp-request content accept if { req.ssl_hello_type 1 }
 
 # Rutare Layer 4 bazată pe SNI-ul extras din handshake-ul TLS potrivit în map-ul HTTPS
 use_backend %[req.ssl_sni,lower,map(/etc/haproxy/maps/web-https.map)]
 
 # Dacă domeniul accesat prin TLS nu există în map, conexiunea este respinsă direct
 default_backend be_https_deny
 
</code>

==== Configurare Backend ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> # nano /etc/haproxy/conf.d/websites.cfg
 
 # DEFINIRE BACKEND-URI SERVERE VIRTUALE
 
 # BACKEND-URI VM1 (192.168.14.11)
 backend be_vm1_http
 mode http
 server vm1_web 192.168.14.11:80 check
 
 backend be_vm1_https
 mode tcp
 server vm1_ssl 192.168.14.11:443 check
 
 # BACKEND-URI VM2 (192.168.14.22)
 backend be_vm2_http
 mode http
 server vm2_web 192.168.14.22:80 check
 
 backend be_vm2_https
 mode tcp
 server vm2_ssl 192.168.14.22:443 check
 
 # BACKEND-URI VM3 (192.168.14.33)
 backend be_vm3_http
 mode http
 server vm3_web 192.168.14.33:80 check
 
 backend be_vm3_https
 mode tcp
 server vm3_ssl 192.168.14.33:443 check
 
 # BACKEND SIGURANȚĂ (DENY)
 backend be_https_deny
 mode tcp
</code>

=== Structură Fișiere Mapare Dinamică ===

Pentru a evita modificarea continuă a fișierului principal de configurare la adăugarea de noi domenii, folosim fișiere de mapare de tip cheie-valoare (*.map).

==== Fișier Mapare HTTP (Port 80) ====
<code class="mw-code mw-highlight plainlinks" style="display:block"> # nano /etc/haproxy/maps/web-http.map
 # VM1 - 192.168.1.11
 domeniu.eu be_vm1_http
 sub.domeniu.eu be_vm1_http
 # VM2 - 192.168.1.22
 domeniu.com be_vm2_http
 sub.domeniu.com be_vm2_http
 # VM3 - 192.168.1.33
 domeniu.ro be_vm3_http
 sub.domeniu.ro be_vm3_http
</code>

==== Fișier Mapare HTTPS (Port 443) ====
<code class="mw-code mw-highlight plainlinks" style="display:block"> # nano /etc/haproxy/maps/web-https.map
 # VM1 - 192.168.1.11
 domeniu.eu be_vm1_https
 sub.domeniu.eu be_vm1_https
 # VM2 - 192.168.1.22
 domeniu.com be_vm2_https
 sub.domeniu.com be_vm2_https
 # VM3 - 192.168.1.33
 domeniu.ro be_vm3_https
 sub.domeniu.ro be_vm3_https
</code>

=== Integrare Modulară în Systemd (conf.d) ===

Pentru ca HAProxy să încarce automat toate fișierele de configurare din directorul secundar <tt>conf.d/</tt>, trebuie modificat scriptul de pornire al serviciului în Systemd.

==== Modificarea fișierului de serviciu ====

Caută linia implicită de pornire și comenteaz-o
Adaugă direct sub ea noua instrucțiune care include ambele căi de configurare ("haproxy.cfg" și directorul "conf.d/").

<code class="mw-code mw-highlight plainlinks" style="display:block"> # nano /usr/lib/systemd/system/haproxy.service
 
 # ExecStart=/usr/sbin/haproxy -Ws -f $CONFIG -p $PIDFILE $EXTRAOPTS
 ExecStart=/usr/sbin/haproxy -Ws -f /etc/haproxy/haproxy.cfg -f /etc/haproxy/conf.d/ -p /run/haproxy.pid
</code>

==== Reîncărcarea și Aplicarea Modificărilor ====
<code class="mw-code mw-highlight plainlinks" style="display:block"> # systemctl daemon-reload
 systemctl restart haproxy
</code>

==== Managementul Configurării: Restart vs Reload ====

Unul dintre marile avantaje ale acestei arhitecturi este capacitatea de a aplica modificări fără a întrerupe sesiunile HTTP/HTTPS active ale utilizatorilor (Zero-Downtime).

<code class="mw-code mw-highlight plainlinks" style="display:block"> # haproxy -c -f /etc/haproxy/haproxy.cfg -f /etc/haproxy/conf.d/ # Validarea sintaxei
 # systemctl reload haproxy # Reîncărcarea serviciului cu noua configurare
</code>

HAProxy

2026-10-22T12:04:44Z

Wikiadmin: /* Note de Implementare și Reguli Stricte */

== HAProxy - Load Balancing Standard (Grup Unic Backend) ==
[[File:HAProxy.png|782x616px|none|HAProxy]]
=== Instalare HAProxy ===
La instalare HAProxy activează serviciul systemd.
<code class="mw-code mw-highlight plainlinks" style="display:block"> # apt -y install haproxy
</code>

=== Structura fișierului de configurare ===

Fișierul principal:
<code class="mw-code mw-highlight plainlinks" style="display:block"> # nano /etc/haproxy/haproxy.cfg
</code>

Configurația este împărțită în:
* global – setări pentru procesul HAProxy
* defaults – setări implicite pentru toate secțiunile
* frontend – puncte de intrare pentru trafic
* backend – serverele către care se trimite traficul

==== Secțiunea global ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> global
 log /dev/log local0
 log /dev/log local1 notice
 maxconn 4096
 user haproxy
 group haproxy
 daemon
</code>

* log /dev/log local0 – trimite logurile către syslog.
* log /dev/log local1 notice – al doilea canal de log, nivel minim notice.
* maxconn 4096 – număr maxim de conexiuni simultane.
* user/group haproxy – rulează cu userul de sistem haproxy.
* daemon – rulează în background.

==== Secțiunea defaults ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> defaults
 log global
 mode http
 option httplog
 option dontlognull
 timeout connect 5s
 timeout client 30s
 timeout server 30s
</code>
* log global – folosește setările din secțiunea global.
* mode http – modul implicit pentru frontend/backend.*
* option httplog – loguri detaliate HTTP.
* option dontlognull – nu loghează conexiuni goale.
* timeout connect/client/server – limite de timp pentru conexiuni.
 * Dacă un frontend sau backend are propriul mode (ex: mode tcp), acesta suprascrie automat valoarea din defaults

==== Frontend HTTP (port 80) ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> frontend http_in
 bind *:80
 mode http
 option forwardfor
 default_backend http_webserver
</code>

* bind *:80 – ascultă pe portul 80.
* mode http – procesează header-ele HTTP.
* option forwardfor – adaugă X‑Forwarded‑For cu IP-ul real al clientului.
* default_backend http_webserver – trimite traficul către backend-ul HTTP.

==== Backend HTTP ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> backend http_webserver
 mode http
 balance leastconn
 option httpchk GET /
 server vm01 192.168.14.11:80 check
 server vm02 192.168.14.22:80 check
 server vm03 192.168.14.33:80 check
</code>

* mode http – backend-ul procesează HTTP.
* balance leastconn – trimite traficul către serverul cu cele mai puține conexiuni active.
* option httpchk GET / – health-check HTTP.
* server vm01/vm02/vm03 – cele trei VM.

=== HTTPS (port 443) cu SSL Termination în HAProxy ===

În această situaţie HAProxy gestionează certificatul.

==== Generare certificat Let’s Encrypt ====

Necesită port 80 public și domeniu valid. 
Certbot, în modul --standalone, pornește un mini‑webserver intern pe portul 80 pentru a răspunde la challenge-ul HTTP‑01 de la Let’s Encrypt. 
Dacă HAProxy este pornit, acesta ocupă portul 80 și Certbot nu poate porni serverul de validare, ceea ce duce la eșecul generării certificatului.

'''Instalare certbot'''

<code class="mw-code mw-highlight plainlinks" style="display:block"> apt -y install certbot
</code>

'''Oprire temporară HAProxy'''

<code class="mw-code mw-highlight plainlinks" style="display:block"> systemctl stop haproxy
</code>

'''Generare certificat'''

<code class="mw-code mw-highlight plainlinks" style="display:block"> certbot certonly --standalone -d wiki.stradivart.ro
</code>

'''Creare fișier PEM pentru HAProxy'''

<code class="mw-code mw-highlight plainlinks" style="display:block"> # mkdir -p /etc/haproxy/certs
 # cat /etc/letsencrypt/live/wiki.stradivart.ro/fullchain.pem \
 /etc/letsencrypt/live/wiki.stradivart.ro/privkey.pem \
 > /etc/haproxy/certs/wiki.stradivart.ro.pem
 # chmod 600 /etc/haproxy/certs/wiki.stradivart.ro.pem
</code>

==== Frontend HTTPS (SSL termination) ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> frontend https_in
 bind *:443 ssl crt /etc/haproxy/certs/wiki.stradivart.ro.pem
 mode http
 option forwardfor
 default_backend http_webserver
</code>
* *bind :443 ssl crt ... – HAProxy decriptează SSL.
* mode http – traficul devine HTTP după terminarea SSL.
* default_backend http_webserver – backend-ul HTTP unic.

==== Backend HTTPS (SSL termination) ====

În cazul SSL termination, backend-ul nu procesează trafic HTTPS. 
HAProxy decriptează SSL în frontend, iar backend-ul primește trafic HTTP normal (non‑SSL). 
De aceea backend-ul este identic cu backend-ul HTTP.

<code class="mw-code mw-highlight plainlinks" style="display:block"> backend http_webserver
 mode http
 balance leastconn
 option httpchk GET /
 server vm01 192.168.14.11:80 check
 server vm02 192.168.14.22:80 check
 server vm03 192.168.14.33:80 check
</code>

* mode http – backend-ul procesează HTTP.
* balance leastconn – trimite traficul către serverul cu cele mai puține conexiuni active.
* option httpchk GET / – health-check HTTP.
* server vm01/vm02/vm03 – cele trei VM.

=== HTTPS (port 443) cu SSL Passthrough ===

Webserver-ul gestionează certificatul. HAProxy doar forward-ează pachetele SSL.

==== Frontend HTTPS (SSL passthrough) ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> frontend https_in
 bind *:443
 mode tcp
 default_backend httpS_webserver
</code>

* *bind :443 – ascultă pe portul 443.
* mode tcp – HAProxy nu decriptează SSL.
* default_backend httpS_webserver – backend separat în modul TCP.

==== Backend HTTPS (SSL passthrough) ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> backend httpS_webserver
 mode tcp
 balance leastconn
 server vm01 192.168.14.11:443 check
 server vm02 192.168.14.22:443 check
 server vm03 192.168.14.33:443 check
</code>

* mode tcp – forward transparent al pachetelor SSL.
* balance leastconn – distribuție inteligentă.
* server vm01/vm02/vm03 – VM-urile ISPConfig.

=== Frontend HTTP (port 80) - ACME Challenge ===

Această secțiune descrie configurarea HAProxy pentru a permite generarea certificatelor Let’s Encrypt în ISPConfig atunci când HAProxy funcționează în modul SSL Passthrough.
Pentru validarea HTTP‑01, traficul către /.well-known/acme-challenge/ trebuie direcționat către backend-ul HTTP al ISPConfig.

==== Frontend HTTP (ACME Challenge Forwarding) ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> frontend http_in
 bind *:80
 mode http
 acl letsencrypt-acl path_beg /.well-known/acme-challenge/
 use_backend letsencrypt-backend if letsencrypt-acl
 default_backend ispconfig_http
</code>

* acl letsencrypt-acl path_beg - detectăm cererile ACME challenge
* use_backend - Forward ACME challenge către backend-ul dedicat
* default_backend - Restul traficului HTTP merge către backend-ul HTTP normal

==== Backend HTTP (ACME Challenge Forwarding) ====

Backend dedicat pentru Let’s Encrypt.
Acesta trebuie să trimită cererile către portul 80 al serverrelor ISPConfig.

<code class="mw-code mw-highlight plainlinks" style="display:block"> backend letsencrypt-backend
 mode http
 server isp1 192.168.14.11:80 check
 server isp2 192.168.14.22:80 check
 server isp3 192.168.14.33:80 check
</code>

==== Backend HTTP (trafic normal) ====

Backend-ul standard pentru HTTP (port 80), folosit pentru redirectări, panel ISPConfig, sau site-uri HTTP.

<code class="mw-code mw-highlight plainlinks" style="display:block"> backend ispconfig_http
 mode http
 balance roundrobin
 option httpchk GET /
 server isp1 192.168.14.11:80 check
 server isp2 192.168.14.22:80 check
 server isp3 192.168.14.33:80 check
</code>

=== Pagina de statistici HAProxy ===

<code class="mw-code mw-highlight plainlinks" style="display:block"> listen stats
 bind *:9000
 mode http
 stats enable
 stats uri /stats
 stats refresh 5s
 stats auth admin:pass123
</code>

* *bind :9000 – port dedicat pentru statistici.
* stats uri /stats – URL-ul paginii.
* stats auth – autentificare basic HTTP.

==== Accesare pagina de statistici ====
http://192.168.14.123:9000/stats

[[File:HAProxy stats.png|782x616px|none|HAProxy_stats]]

==== Ansible playbook pentru configurare ====

===== Fişiere necesare =====

{| class="responsive-three-cols"
|-
| class="col" style="vertical-align:middle; text-align:center; padding:15px;" |

[[File:Filethumb.png|thumb|right|link=Media:Inventory.ini|Descarcă fișierul de inventar si variabile]]

| class="col" style="vertical-align:middle; text-align:center; padding:15px;" |

[[File:Filethumb.png|thumb|right|link=Media:Haproxy.yaml|Descarcă fișierul de instalare și configurare iniţială]]

| class="col" style="vertical-align:middle; text-align:center; padding:15px;" |

[[File:Filethumb.png|thumb|right|link=Media:Haproxy-conf.yaml|Descarcă fișierul de actualizare a configurării]]

|}

===== Instalarea HAProxy si configurarea primului frontend şi backend =====

<code class="mw-code mw-highlight plainlinks" style="display:block"> # ansible-playbook -i /path/to/Inventory.ini /path/to/Haproxy.yaml
</code>

===== Confingurarea frontend şi backend pentru HAProxy =====

<code class="mw-code mw-highlight plainlinks" style="display:block"> # ansible-playbook -i /path/to/Inventory.ini /path/to/Haproxy-conf.yaml
</code>

== HAProxy cu SSL Passthrough și Mapări Dinamice Layer 7 ==
[[File:haproxyLayer7.png|782x616px|none|HAProxy Layer7]]

Acest scenariu avansat descrie configurarea HAProxy ca un "Router Layer 7 (Content-Based Switch)". Această arhitectură permite consolidarea mai multor domenii și subdomenii complet diferite pe un singur IP public extern, rutând traficul dinamic către mașini virtuale (backend-uri) separate, fără ca HAProxy să decripteze traficul SSL/TLS (SSL Passthrough).

=== Configurare Frontend-uri și Backend-uri Modulare ===

Fișierele sunt stocate modular în directorul inclus secundar (`conf.d/`).

==== Configurare Frontend ====

Fișierele sunt stocate modular în directorul inclus secundar (`conf.d/`).

<code class="mw-code mw-highlight plainlinks" style="display:block"> # nano /etc/haproxy/conf.d/websites.cfg
 
 # FRONTEND HTTP - Port 80 (Cu suport ACME Challenge integrat dinamic)
 
 frontend fe_http
 bind *:80
 mode http
 
 # Extrage stringul curat al domeniului (taie portul :80 trimis de unele browsere)
 http-request set-var(txn.backend) req.hdr(host),field(1,:),lower,map(/etc/haproxy/maps/web-http.map)
 
 # Detecție trafic ACME Challenge (Let's Encrypt / ISPConfig)
 acl is_acme path_beg /.well-known/acme-challenge/
 
 # Securitate: Blocare 403 dacă domeniul nu există în map ȘI nu este o cerere ACME
 http-request deny deny_status 403 if ! { var(txn.backend) -m found } !is_acme
 
 # Rutare: Trimite către backend-ul identificat în map
 use_backend %[var(txn.backend)] if { var(txn.backend) -m found }
 
 # Fallback obligatoriu pentru procesarea automată a certificatelor ACME generate în ISPConfig
 default_backend be_vm1_http
 
 # FRONTEND HTTPS - Port 443 (SSL Passthrough transparent pe bază de SNI)
 
 frontend fe_https
 bind *:443
 mode tcp
 
 # Inspectează pachetele inițiale TCP pentru a citi header-ul TLS nesecurizat
 tcp-request inspect-delay 5s
 tcp-request content accept if { req.ssl_hello_type 1 }
 
 # Rutare Layer 4 bazată pe SNI-ul extras din handshake-ul TLS potrivit în map-ul HTTPS
 use_backend %[req.ssl_sni,lower,map(/etc/haproxy/maps/web-https.map)]
 
 # Dacă domeniul accesat prin TLS nu există în map, conexiunea este respinsă direct
 default_backend be_https_deny
 
</code>

==== Configurare Backend ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> # nano /etc/haproxy/conf.d/websites.cfg
 
 # DEFINIRE BACKEND-URI SERVERE VIRTUALE
 
 # BACKEND-URI VM1 (192.168.14.11)
 backend be_vm1_http
 mode http
 server vm1_web 192.168.14.11:80 check
 
 backend be_vm1_https
 mode tcp
 server vm1_ssl 192.168.14.11:443 check
 
 # BACKEND-URI VM2 (192.168.14.22)
 backend be_vm2_http
 mode http
 server vm2_web 192.168.14.22:80 check
 
 backend be_vm2_https
 mode tcp
 server vm2_ssl 192.168.14.22:443 check
 
 # BACKEND-URI VM3 (192.168.14.33)
 backend be_vm3_http
 mode http
 server vm3_web 192.168.14.33:80 check
 
 backend be_vm3_https
 mode tcp
 server vm3_ssl 192.168.14.33:443 check
 
 # BACKEND SIGURANȚĂ (DENY)
 backend be_https_deny
 mode tcp
</code>

=== Structură Fișiere Mapare Dinamică ===

Pentru a evita modificarea continuă a fișierului principal de configurare la adăugarea de noi domenii, folosim fișiere de mapare de tip cheie-valoare (*.map).

==== Fișier Mapare HTTP (Port 80) ====
<code class="mw-code mw-highlight plainlinks" style="display:block"> # nano /etc/haproxy/maps/web-http.map
 # VM1 - 192.168.1.11
 domeniu.eu be_vm1_http
 sub.domeniu.eu be_vm1_http
 # VM2 - 192.168.1.22
 domeniu.com be_vm2_http
 sub.domeniu.com be_vm2_http
 # VM3 - 192.168.1.33
 domeniu.ro be_vm3_http
 sub.domeniu.ro be_vm3_http
</code>

==== Fișier Mapare HTTPS (Port 443) ====
<code class="mw-code mw-highlight plainlinks" style="display:block"> # nano /etc/haproxy/maps/web-https.map
 # VM1 - 192.168.1.11
 domeniu.eu be_vm1_https
 sub.domeniu.eu be_vm1_https
 # VM2 - 192.168.1.22
 domeniu.com be_vm2_https
 sub.domeniu.com be_vm2_https
 # VM3 - 192.168.1.33
 domeniu.ro be_vm3_https
 sub.domeniu.ro be_vm3_https
</code>

=== Integrare Modulară în Systemd (conf.d) ===

Pentru ca HAProxy să încarce automat toate fișierele de configurare din directorul secundar <tt>conf.d/</tt>, trebuie modificat scriptul de pornire al serviciului în Systemd.

==== Modificarea fișierului de serviciu ====

Caută linia implicită de pornire și comenteaz-o
Adaugă direct sub ea noua instrucțiune care include ambele căi de configurare ("haproxy.cfg" și directorul "conf.d/").

<code class="mw-code mw-highlight plainlinks" style="display:block"> # nano /usr/lib/systemd/system/haproxy.service
 #ExecStart=/usr/sbin/haproxy -Ws -f $CONFIG -p $PIDFILE $EXTRAOPTS
 ExecStart=/usr/sbin/haproxy -Ws -f /etc/haproxy/haproxy.cfg -f /etc/haproxy/conf.d/ -p /run/haproxy.pid
</code>

==== Reîncărcarea și Aplicarea Modificărilor ====
<code class="mw-code mw-highlight plainlinks" style="display:block"> # systemctl daemon-reload
 systemctl restart haproxy
</code>

==== Managementul Configurării: Restart vs Reload ====

Unul dintre marile avantaje ale acestei arhitecturi este capacitatea de a aplica modificări fără a întrerupe sesiunile HTTP/HTTPS active ale utilizatorilor (Zero-Downtime).

<code class="mw-code mw-highlight plainlinks" style="display:block"> # haproxy -c -f /etc/haproxy/haproxy.cfg -f /etc/haproxy/conf.d/ # Validarea sintaxei
 # systemctl reload haproxy # Reîncărcarea serviciului cu noua configurare
</code>

HAProxy

2026-10-22T11:35:59Z

Wikiadmin: /* Note de Implementare și Reguli Stricte */

== HAProxy - Load Balancing Standard (Grup Unic Backend) ==
[[File:HAProxy.png|782x616px|none|HAProxy]]
=== Instalare HAProxy ===
La instalare HAProxy activează serviciul systemd.
<code class="mw-code mw-highlight plainlinks" style="display:block"> # apt -y install haproxy
</code>

=== Structura fișierului de configurare ===

Fișierul principal:
<code class="mw-code mw-highlight plainlinks" style="display:block"> # nano /etc/haproxy/haproxy.cfg
</code>

Configurația este împărțită în:
* global – setări pentru procesul HAProxy
* defaults – setări implicite pentru toate secțiunile
* frontend – puncte de intrare pentru trafic
* backend – serverele către care se trimite traficul

==== Secțiunea global ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> global
 log /dev/log local0
 log /dev/log local1 notice
 maxconn 4096
 user haproxy
 group haproxy
 daemon
</code>

* log /dev/log local0 – trimite logurile către syslog.
* log /dev/log local1 notice – al doilea canal de log, nivel minim notice.
* maxconn 4096 – număr maxim de conexiuni simultane.
* user/group haproxy – rulează cu userul de sistem haproxy.
* daemon – rulează în background.

==== Secțiunea defaults ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> defaults
 log global
 mode http
 option httplog
 option dontlognull
 timeout connect 5s
 timeout client 30s
 timeout server 30s
</code>
* log global – folosește setările din secțiunea global.
* mode http – modul implicit pentru frontend/backend.*
* option httplog – loguri detaliate HTTP.
* option dontlognull – nu loghează conexiuni goale.
* timeout connect/client/server – limite de timp pentru conexiuni.
 * Dacă un frontend sau backend are propriul mode (ex: mode tcp), acesta suprascrie automat valoarea din defaults

==== Frontend HTTP (port 80) ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> frontend http_in
 bind *:80
 mode http
 option forwardfor
 default_backend http_webserver
</code>

* bind *:80 – ascultă pe portul 80.
* mode http – procesează header-ele HTTP.
* option forwardfor – adaugă X‑Forwarded‑For cu IP-ul real al clientului.
* default_backend http_webserver – trimite traficul către backend-ul HTTP.

==== Backend HTTP ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> backend http_webserver
 mode http
 balance leastconn
 option httpchk GET /
 server vm01 192.168.14.11:80 check
 server vm02 192.168.14.22:80 check
 server vm03 192.168.14.33:80 check
</code>

* mode http – backend-ul procesează HTTP.
* balance leastconn – trimite traficul către serverul cu cele mai puține conexiuni active.
* option httpchk GET / – health-check HTTP.
* server vm01/vm02/vm03 – cele trei VM.

=== HTTPS (port 443) cu SSL Termination în HAProxy ===

În această situaţie HAProxy gestionează certificatul.

==== Generare certificat Let’s Encrypt ====

Necesită port 80 public și domeniu valid. 
Certbot, în modul --standalone, pornește un mini‑webserver intern pe portul 80 pentru a răspunde la challenge-ul HTTP‑01 de la Let’s Encrypt. 
Dacă HAProxy este pornit, acesta ocupă portul 80 și Certbot nu poate porni serverul de validare, ceea ce duce la eșecul generării certificatului.

'''Instalare certbot'''

<code class="mw-code mw-highlight plainlinks" style="display:block"> apt -y install certbot
</code>

'''Oprire temporară HAProxy'''

<code class="mw-code mw-highlight plainlinks" style="display:block"> systemctl stop haproxy
</code>

'''Generare certificat'''

<code class="mw-code mw-highlight plainlinks" style="display:block"> certbot certonly --standalone -d wiki.stradivart.ro
</code>

'''Creare fișier PEM pentru HAProxy'''

<code class="mw-code mw-highlight plainlinks" style="display:block"> # mkdir -p /etc/haproxy/certs
 # cat /etc/letsencrypt/live/wiki.stradivart.ro/fullchain.pem \
 /etc/letsencrypt/live/wiki.stradivart.ro/privkey.pem \
 > /etc/haproxy/certs/wiki.stradivart.ro.pem
 # chmod 600 /etc/haproxy/certs/wiki.stradivart.ro.pem
</code>

==== Frontend HTTPS (SSL termination) ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> frontend https_in
 bind *:443 ssl crt /etc/haproxy/certs/wiki.stradivart.ro.pem
 mode http
 option forwardfor
 default_backend http_webserver
</code>
* *bind :443 ssl crt ... – HAProxy decriptează SSL.
* mode http – traficul devine HTTP după terminarea SSL.
* default_backend http_webserver – backend-ul HTTP unic.

==== Backend HTTPS (SSL termination) ====

În cazul SSL termination, backend-ul nu procesează trafic HTTPS. 
HAProxy decriptează SSL în frontend, iar backend-ul primește trafic HTTP normal (non‑SSL). 
De aceea backend-ul este identic cu backend-ul HTTP.

<code class="mw-code mw-highlight plainlinks" style="display:block"> backend http_webserver
 mode http
 balance leastconn
 option httpchk GET /
 server vm01 192.168.14.11:80 check
 server vm02 192.168.14.22:80 check
 server vm03 192.168.14.33:80 check
</code>

* mode http – backend-ul procesează HTTP.
* balance leastconn – trimite traficul către serverul cu cele mai puține conexiuni active.
* option httpchk GET / – health-check HTTP.
* server vm01/vm02/vm03 – cele trei VM.

=== HTTPS (port 443) cu SSL Passthrough ===

Webserver-ul gestionează certificatul. HAProxy doar forward-ează pachetele SSL.

==== Frontend HTTPS (SSL passthrough) ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> frontend https_in
 bind *:443
 mode tcp
 default_backend httpS_webserver
</code>

* *bind :443 – ascultă pe portul 443.
* mode tcp – HAProxy nu decriptează SSL.
* default_backend httpS_webserver – backend separat în modul TCP.

==== Backend HTTPS (SSL passthrough) ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> backend httpS_webserver
 mode tcp
 balance leastconn
 server vm01 192.168.14.11:443 check
 server vm02 192.168.14.22:443 check
 server vm03 192.168.14.33:443 check
</code>

* mode tcp – forward transparent al pachetelor SSL.
* balance leastconn – distribuție inteligentă.
* server vm01/vm02/vm03 – VM-urile ISPConfig.

=== Frontend HTTP (port 80) - ACME Challenge ===

Această secțiune descrie configurarea HAProxy pentru a permite generarea certificatelor Let’s Encrypt în ISPConfig atunci când HAProxy funcționează în modul SSL Passthrough.
Pentru validarea HTTP‑01, traficul către /.well-known/acme-challenge/ trebuie direcționat către backend-ul HTTP al ISPConfig.

==== Frontend HTTP (ACME Challenge Forwarding) ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> frontend http_in
 bind *:80
 mode http
 acl letsencrypt-acl path_beg /.well-known/acme-challenge/
 use_backend letsencrypt-backend if letsencrypt-acl
 default_backend ispconfig_http
</code>

* acl letsencrypt-acl path_beg - detectăm cererile ACME challenge
* use_backend - Forward ACME challenge către backend-ul dedicat
* default_backend - Restul traficului HTTP merge către backend-ul HTTP normal

==== Backend HTTP (ACME Challenge Forwarding) ====

Backend dedicat pentru Let’s Encrypt.
Acesta trebuie să trimită cererile către portul 80 al serverrelor ISPConfig.

<code class="mw-code mw-highlight plainlinks" style="display:block"> backend letsencrypt-backend
 mode http
 server isp1 192.168.14.11:80 check
 server isp2 192.168.14.22:80 check
 server isp3 192.168.14.33:80 check
</code>

==== Backend HTTP (trafic normal) ====

Backend-ul standard pentru HTTP (port 80), folosit pentru redirectări, panel ISPConfig, sau site-uri HTTP.

<code class="mw-code mw-highlight plainlinks" style="display:block"> backend ispconfig_http
 mode http
 balance roundrobin
 option httpchk GET /
 server isp1 192.168.14.11:80 check
 server isp2 192.168.14.22:80 check
 server isp3 192.168.14.33:80 check
</code>

=== Pagina de statistici HAProxy ===

<code class="mw-code mw-highlight plainlinks" style="display:block"> listen stats
 bind *:9000
 mode http
 stats enable
 stats uri /stats
 stats refresh 5s
 stats auth admin:pass123
</code>

* *bind :9000 – port dedicat pentru statistici.
* stats uri /stats – URL-ul paginii.
* stats auth – autentificare basic HTTP.

==== Accesare pagina de statistici ====
http://192.168.14.123:9000/stats

[[File:HAProxy stats.png|782x616px|none|HAProxy_stats]]

==== Ansible playbook pentru configurare ====

===== Fişiere necesare =====

{| class="responsive-three-cols"
|-
| class="col" style="vertical-align:middle; text-align:center; padding:15px;" |

[[File:Filethumb.png|thumb|right|link=Media:Inventory.ini|Descarcă fișierul de inventar si variabile]]

| class="col" style="vertical-align:middle; text-align:center; padding:15px;" |

[[File:Filethumb.png|thumb|right|link=Media:Haproxy.yaml|Descarcă fișierul de instalare și configurare iniţială]]

| class="col" style="vertical-align:middle; text-align:center; padding:15px;" |

[[File:Filethumb.png|thumb|right|link=Media:Haproxy-conf.yaml|Descarcă fișierul de actualizare a configurării]]

|}

===== Instalarea HAProxy si configurarea primului frontend şi backend =====

<code class="mw-code mw-highlight plainlinks" style="display:block"> # ansible-playbook -i /path/to/Inventory.ini /path/to/Haproxy.yaml
</code>

===== Confingurarea frontend şi backend pentru HAProxy =====

<code class="mw-code mw-highlight plainlinks" style="display:block"> # ansible-playbook -i /path/to/Inventory.ini /path/to/Haproxy-conf.yaml
</code>

== HAProxy cu SSL Passthrough și Mapări Dinamice Layer 7 ==
[[File:haproxyLayer7.png|782x616px|none|HAProxy Layer7]]

Acest scenariu avansat descrie configurarea HAProxy ca un "Router Layer 7 (Content-Based Switch)". Această arhitectură permite consolidarea mai multor domenii și subdomenii complet diferite pe un singur IP public extern, rutând traficul dinamic către mașini virtuale (backend-uri) separate, fără ca HAProxy să decripteze traficul SSL/TLS (SSL Passthrough).

=== Configurare Frontend-uri și Backend-uri Modulare ===

Fișierele sunt stocate modular în directorul inclus secundar (`conf.d/`).

==== Configurare Frontend ====

Fișierele sunt stocate modular în directorul inclus secundar (`conf.d/`).

<code class="mw-code mw-highlight plainlinks" style="display:block"> # nano /etc/haproxy/conf.d/websites.cfg
 
 # FRONTEND HTTP - Port 80 (Cu suport ACME Challenge integrat dinamic)
 
 frontend fe_http
 bind *:80
 mode http
 
 # Extrage stringul curat al domeniului (taie portul :80 trimis de unele browsere)
 http-request set-var(txn.backend) req.hdr(host),field(1,:),lower,map(/etc/haproxy/maps/web-http.map)
 
 # Detecție trafic ACME Challenge (Let's Encrypt / ISPConfig)
 acl is_acme path_beg /.well-known/acme-challenge/
 
 # Securitate: Blocare 403 dacă domeniul nu există în map ȘI nu este o cerere ACME
 http-request deny deny_status 403 if ! { var(txn.backend) -m found } !is_acme
 
 # Rutare: Trimite către backend-ul identificat în map
 use_backend %[var(txn.backend)] if { var(txn.backend) -m found }
 
 # Fallback obligatoriu pentru procesarea automată a certificatelor ACME generate în ISPConfig
 default_backend be_vm1_http
 
 # FRONTEND HTTPS - Port 443 (SSL Passthrough transparent pe bază de SNI)
 
 frontend fe_https
 bind *:443
 mode tcp
 
 # Inspectează pachetele inițiale TCP pentru a citi header-ul TLS nesecurizat
 tcp-request inspect-delay 5s
 tcp-request content accept if { req.ssl_hello_type 1 }
 
 # Rutare Layer 4 bazată pe SNI-ul extras din handshake-ul TLS potrivit în map-ul HTTPS
 use_backend %[req.ssl_sni,lower,map(/etc/haproxy/maps/web-https.map)]
 
 # Dacă domeniul accesat prin TLS nu există în map, conexiunea este respinsă direct
 default_backend be_https_deny
 
</code>

==== Configurare Backend ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> # nano /etc/haproxy/conf.d/websites.cfg
 
 # DEFINIRE BACKEND-URI SERVERE VIRTUALE
 
 # BACKEND-URI VM1 (192.168.14.11)
 backend be_vm1_http
 mode http
 server vm1_web 192.168.14.11:80 check
 
 backend be_vm1_https
 mode tcp
 server vm1_ssl 192.168.14.11:443 check
 
 # BACKEND-URI VM2 (192.168.14.22)
 backend be_vm2_http
 mode http
 server vm2_web 192.168.14.22:80 check
 
 backend be_vm2_https
 mode tcp
 server vm2_ssl 192.168.14.22:443 check
 
 # BACKEND-URI VM3 (192.168.14.33)
 backend be_vm3_http
 mode http
 server vm3_web 192.168.14.33:80 check
 
 backend be_vm3_https
 mode tcp
 server vm3_ssl 192.168.14.33:443 check
 
 # BACKEND SIGURANȚĂ (DENY)
 backend be_https_deny
 mode tcp
</code>

=== Structură Fișiere Mapare Dinamică ===

Pentru a evita modificarea continuă a fișierului principal de configurare la adăugarea de noi domenii, folosim fișiere de mapare de tip cheie-valoare (*.map).

==== Fișier Mapare HTTP (Port 80) ====
<code class="mw-code mw-highlight plainlinks" style="display:block"> # nano /etc/haproxy/maps/web-http.map
 # VM1 - 192.168.1.11
 domeniu.eu be_vm1_http
 sub.domeniu.eu be_vm1_http
 # VM2 - 192.168.1.22
 domeniu.com be_vm2_http
 sub.domeniu.com be_vm2_http
 # VM3 - 192.168.1.33
 domeniu.ro be_vm3_http
 sub.domeniu.ro be_vm3_http
</code>

==== Fișier Mapare HTTPS (Port 443) ====
<code class="mw-code mw-highlight plainlinks" style="display:block"> # nano /etc/haproxy/maps/web-https.map
 # VM1 - 192.168.1.11
 domeniu.eu be_vm1_https
 sub.domeniu.eu be_vm1_https
 # VM2 - 192.168.1.22
 domeniu.com be_vm2_https
 sub.domeniu.com be_vm2_https
 # VM3 - 192.168.1.33
 domeniu.ro be_vm3_https
 sub.domeniu.ro be_vm3_https
</code>

=== Note de Implementare și Reguli Stricte ===

HAProxy

2026-10-22T10:49:08Z

Wikiadmin: /* Fișier Mapare HTTPS (Port 443) */

== HAProxy - Load Balancing Standard (Grup Unic Backend) ==
[[File:HAProxy.png|782x616px|none|HAProxy]]
=== Instalare HAProxy ===
La instalare HAProxy activează serviciul systemd.
<code class="mw-code mw-highlight plainlinks" style="display:block"> # apt -y install haproxy
</code>

=== Structura fișierului de configurare ===

Fișierul principal:
<code class="mw-code mw-highlight plainlinks" style="display:block"> # nano /etc/haproxy/haproxy.cfg
</code>

Configurația este împărțită în:
* global – setări pentru procesul HAProxy
* defaults – setări implicite pentru toate secțiunile
* frontend – puncte de intrare pentru trafic
* backend – serverele către care se trimite traficul

==== Secțiunea global ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> global
 log /dev/log local0
 log /dev/log local1 notice
 maxconn 4096
 user haproxy
 group haproxy
 daemon
</code>

* log /dev/log local0 – trimite logurile către syslog.
* log /dev/log local1 notice – al doilea canal de log, nivel minim notice.
* maxconn 4096 – număr maxim de conexiuni simultane.
* user/group haproxy – rulează cu userul de sistem haproxy.
* daemon – rulează în background.

==== Secțiunea defaults ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> defaults
 log global
 mode http
 option httplog
 option dontlognull
 timeout connect 5s
 timeout client 30s
 timeout server 30s
</code>
* log global – folosește setările din secțiunea global.
* mode http – modul implicit pentru frontend/backend.*
* option httplog – loguri detaliate HTTP.
* option dontlognull – nu loghează conexiuni goale.
* timeout connect/client/server – limite de timp pentru conexiuni.
 * Dacă un frontend sau backend are propriul mode (ex: mode tcp), acesta suprascrie automat valoarea din defaults

==== Frontend HTTP (port 80) ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> frontend http_in
 bind *:80
 mode http
 option forwardfor
 default_backend http_webserver
</code>

* bind *:80 – ascultă pe portul 80.
* mode http – procesează header-ele HTTP.
* option forwardfor – adaugă X‑Forwarded‑For cu IP-ul real al clientului.
* default_backend http_webserver – trimite traficul către backend-ul HTTP.

==== Backend HTTP ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> backend http_webserver
 mode http
 balance leastconn
 option httpchk GET /
 server vm01 192.168.14.11:80 check
 server vm02 192.168.14.22:80 check
 server vm03 192.168.14.33:80 check
</code>

* mode http – backend-ul procesează HTTP.
* balance leastconn – trimite traficul către serverul cu cele mai puține conexiuni active.
* option httpchk GET / – health-check HTTP.
* server vm01/vm02/vm03 – cele trei VM.

=== HTTPS (port 443) cu SSL Termination în HAProxy ===

În această situaţie HAProxy gestionează certificatul.

==== Generare certificat Let’s Encrypt ====

Necesită port 80 public și domeniu valid. 
Certbot, în modul --standalone, pornește un mini‑webserver intern pe portul 80 pentru a răspunde la challenge-ul HTTP‑01 de la Let’s Encrypt. 
Dacă HAProxy este pornit, acesta ocupă portul 80 și Certbot nu poate porni serverul de validare, ceea ce duce la eșecul generării certificatului.

'''Instalare certbot'''

<code class="mw-code mw-highlight plainlinks" style="display:block"> apt -y install certbot
</code>

'''Oprire temporară HAProxy'''

<code class="mw-code mw-highlight plainlinks" style="display:block"> systemctl stop haproxy
</code>

'''Generare certificat'''

<code class="mw-code mw-highlight plainlinks" style="display:block"> certbot certonly --standalone -d wiki.stradivart.ro
</code>

'''Creare fișier PEM pentru HAProxy'''

<code class="mw-code mw-highlight plainlinks" style="display:block"> # mkdir -p /etc/haproxy/certs
 # cat /etc/letsencrypt/live/wiki.stradivart.ro/fullchain.pem \
 /etc/letsencrypt/live/wiki.stradivart.ro/privkey.pem \
 > /etc/haproxy/certs/wiki.stradivart.ro.pem
 # chmod 600 /etc/haproxy/certs/wiki.stradivart.ro.pem
</code>

==== Frontend HTTPS (SSL termination) ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> frontend https_in
 bind *:443 ssl crt /etc/haproxy/certs/wiki.stradivart.ro.pem
 mode http
 option forwardfor
 default_backend http_webserver
</code>
* *bind :443 ssl crt ... – HAProxy decriptează SSL.
* mode http – traficul devine HTTP după terminarea SSL.
* default_backend http_webserver – backend-ul HTTP unic.

==== Backend HTTPS (SSL termination) ====

În cazul SSL termination, backend-ul nu procesează trafic HTTPS. 
HAProxy decriptează SSL în frontend, iar backend-ul primește trafic HTTP normal (non‑SSL). 
De aceea backend-ul este identic cu backend-ul HTTP.

<code class="mw-code mw-highlight plainlinks" style="display:block"> backend http_webserver
 mode http
 balance leastconn
 option httpchk GET /
 server vm01 192.168.14.11:80 check
 server vm02 192.168.14.22:80 check
 server vm03 192.168.14.33:80 check
</code>

* mode http – backend-ul procesează HTTP.
* balance leastconn – trimite traficul către serverul cu cele mai puține conexiuni active.
* option httpchk GET / – health-check HTTP.
* server vm01/vm02/vm03 – cele trei VM.

=== HTTPS (port 443) cu SSL Passthrough ===

Webserver-ul gestionează certificatul. HAProxy doar forward-ează pachetele SSL.

==== Frontend HTTPS (SSL passthrough) ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> frontend https_in
 bind *:443
 mode tcp
 default_backend httpS_webserver
</code>

* *bind :443 – ascultă pe portul 443.
* mode tcp – HAProxy nu decriptează SSL.
* default_backend httpS_webserver – backend separat în modul TCP.

==== Backend HTTPS (SSL passthrough) ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> backend httpS_webserver
 mode tcp
 balance leastconn
 server vm01 192.168.14.11:443 check
 server vm02 192.168.14.22:443 check
 server vm03 192.168.14.33:443 check
</code>

* mode tcp – forward transparent al pachetelor SSL.
* balance leastconn – distribuție inteligentă.
* server vm01/vm02/vm03 – VM-urile ISPConfig.

=== Frontend HTTP (port 80) - ACME Challenge ===

Această secțiune descrie configurarea HAProxy pentru a permite generarea certificatelor Let’s Encrypt în ISPConfig atunci când HAProxy funcționează în modul SSL Passthrough.
Pentru validarea HTTP‑01, traficul către /.well-known/acme-challenge/ trebuie direcționat către backend-ul HTTP al ISPConfig.

==== Frontend HTTP (ACME Challenge Forwarding) ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> frontend http_in
 bind *:80
 mode http
 acl letsencrypt-acl path_beg /.well-known/acme-challenge/
 use_backend letsencrypt-backend if letsencrypt-acl
 default_backend ispconfig_http
</code>

* acl letsencrypt-acl path_beg - detectăm cererile ACME challenge
* use_backend - Forward ACME challenge către backend-ul dedicat
* default_backend - Restul traficului HTTP merge către backend-ul HTTP normal

==== Backend HTTP (ACME Challenge Forwarding) ====

Backend dedicat pentru Let’s Encrypt.
Acesta trebuie să trimită cererile către portul 80 al serverrelor ISPConfig.

<code class="mw-code mw-highlight plainlinks" style="display:block"> backend letsencrypt-backend
 mode http
 server isp1 192.168.14.11:80 check
 server isp2 192.168.14.22:80 check
 server isp3 192.168.14.33:80 check
</code>

==== Backend HTTP (trafic normal) ====

Backend-ul standard pentru HTTP (port 80), folosit pentru redirectări, panel ISPConfig, sau site-uri HTTP.

<code class="mw-code mw-highlight plainlinks" style="display:block"> backend ispconfig_http
 mode http
 balance roundrobin
 option httpchk GET /
 server isp1 192.168.14.11:80 check
 server isp2 192.168.14.22:80 check
 server isp3 192.168.14.33:80 check
</code>

=== Pagina de statistici HAProxy ===

<code class="mw-code mw-highlight plainlinks" style="display:block"> listen stats
 bind *:9000
 mode http
 stats enable
 stats uri /stats
 stats refresh 5s
 stats auth admin:pass123
</code>

* *bind :9000 – port dedicat pentru statistici.
* stats uri /stats – URL-ul paginii.
* stats auth – autentificare basic HTTP.

==== Accesare pagina de statistici ====
http://192.168.14.123:9000/stats

[[File:HAProxy stats.png|782x616px|none|HAProxy_stats]]

==== Ansible playbook pentru configurare ====

===== Fişiere necesare =====

{| class="responsive-three-cols"
|-
| class="col" style="vertical-align:middle; text-align:center; padding:15px;" |

[[File:Filethumb.png|thumb|right|link=Media:Inventory.ini|Descarcă fișierul de inventar si variabile]]

| class="col" style="vertical-align:middle; text-align:center; padding:15px;" |

[[File:Filethumb.png|thumb|right|link=Media:Haproxy.yaml|Descarcă fișierul de instalare și configurare iniţială]]

| class="col" style="vertical-align:middle; text-align:center; padding:15px;" |

[[File:Filethumb.png|thumb|right|link=Media:Haproxy-conf.yaml|Descarcă fișierul de actualizare a configurării]]

|}

===== Instalarea HAProxy si configurarea primului frontend şi backend =====

<code class="mw-code mw-highlight plainlinks" style="display:block"> # ansible-playbook -i /path/to/Inventory.ini /path/to/Haproxy.yaml
</code>

===== Confingurarea frontend şi backend pentru HAProxy =====

<code class="mw-code mw-highlight plainlinks" style="display:block"> # ansible-playbook -i /path/to/Inventory.ini /path/to/Haproxy-conf.yaml
</code>

== HAProxy cu SSL Passthrough și Mapări Dinamice Layer 7 ==
[[File:haproxyLayer7.png|782x616px|none|HAProxy Layer7]]

Acest scenariu avansat descrie configurarea HAProxy ca un "Router Layer 7 (Content-Based Switch)". Această arhitectură permite consolidarea mai multor domenii și subdomenii complet diferite pe un singur IP public extern, rutând traficul dinamic către mașini virtuale (backend-uri) separate, fără ca HAProxy să decripteze traficul SSL/TLS (SSL Passthrough).

=== Configurare Frontend-uri și Backend-uri Modulare ===

Fișierele sunt stocate modular în directorul inclus secundar (`conf.d/`).

==== Configurare Frontend ====

Fișierele sunt stocate modular în directorul inclus secundar (`conf.d/`).

<code class="mw-code mw-highlight plainlinks" style="display:block"> # nano /etc/haproxy/conf.d/websites.cfg
 
 # FRONTEND HTTP - Port 80 (Cu suport ACME Challenge integrat dinamic)
 
 frontend fe_http
 bind *:80
 mode http
 
 # Extrage stringul curat al domeniului (taie portul :80 trimis de unele browsere)
 http-request set-var(txn.backend) req.hdr(host),field(1,:),lower,map(/etc/haproxy/maps/web-http.map)
 
 # Detecție trafic ACME Challenge (Let's Encrypt / ISPConfig)
 acl is_acme path_beg /.well-known/acme-challenge/
 
 # Securitate: Blocare 403 dacă domeniul nu există în map ȘI nu este o cerere ACME
 http-request deny deny_status 403 if ! { var(txn.backend) -m found } !is_acme
 
 # Rutare: Trimite către backend-ul identificat în map
 use_backend %[var(txn.backend)] if { var(txn.backend) -m found }
 
 # Fallback obligatoriu pentru procesarea automată a certificatelor ACME generate în ISPConfig
 default_backend be_vm1_http
 
 # FRONTEND HTTPS - Port 443 (SSL Passthrough transparent pe bază de SNI)
 
 frontend fe_https
 bind *:443
 mode tcp
 
 # Inspectează pachetele inițiale TCP pentru a citi header-ul TLS nesecurizat
 tcp-request inspect-delay 5s
 tcp-request content accept if { req.ssl_hello_type 1 }
 
 # Rutare Layer 4 bazată pe SNI-ul extras din handshake-ul TLS potrivit în map-ul HTTPS
 use_backend %[req.ssl_sni,lower,map(/etc/haproxy/maps/web-https.map)]
 
 # Dacă domeniul accesat prin TLS nu există în map, conexiunea este respinsă direct
 default_backend be_https_deny
 
</code>

==== Configurare Backend ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> # nano /etc/haproxy/conf.d/websites.cfg
 
 # DEFINIRE BACKEND-URI SERVERE VIRTUALE
 
 # BACKEND-URI VM1 (192.168.14.11)
 backend be_vm1_http
 mode http
 server vm1_web 192.168.14.11:80 check
 
 backend be_vm1_https
 mode tcp
 server vm1_ssl 192.168.14.11:443 check
 
 # BACKEND-URI VM2 (192.168.14.22)
 backend be_vm2_http
 mode http
 server vm2_web 192.168.14.22:80 check
 
 backend be_vm2_https
 mode tcp
 server vm2_ssl 192.168.14.22:443 check
 
 # BACKEND-URI VM3 (192.168.14.33)
 backend be_vm3_http
 mode http
 server vm3_web 192.168.14.33:80 check
 
 backend be_vm3_https
 mode tcp
 server vm3_ssl 192.168.14.33:443 check
 
 # BACKEND SIGURANȚĂ (DENY)
 backend be_https_deny
 mode tcp
</code>

=== Structură Fișiere Mapare Dinamică ===

Pentru a evita modificarea continuă a fișierului principal de configurare la adăugarea de noi domenii, folosim fișiere de mapare de tip cheie-valoare (*.map).

==== Fișier Mapare HTTP (Port 80) ====
<code class="mw-code mw-highlight plainlinks" style="display:block"> # nano /etc/haproxy/maps/web-http.map
 # VM1 - 192.168.1.11
 domeniu.eu be_vm1_http
 sub.domeniu.eu be_vm1_http
 # VM2 - 192.168.1.22
 domeniu.com be_vm2_http
 sub.domeniu.com be_vm2_http
 # VM3 - 192.168.1.33
 domeniu.ro be_vm3_http
 sub.domeniu.ro be_vm3_http
</code>

==== Fișier Mapare HTTPS (Port 443) ====
<code class="mw-code mw-highlight plainlinks" style="display:block"> # nano /etc/haproxy/maps/web-https.map
 # VM1 - 192.168.1.11
 domeniu.eu be_vm1_https
 sub.domeniu.eu be_vm1_https
 # VM2 - 192.168.1.22
 domeniu.com be_vm2_https
 sub.domeniu.com be_vm2_https
 # VM3 - 192.168.1.33
 domeniu.ro be_vm3_https
 sub.domeniu.ro be_vm3_https
</code>

=== Note de Implementare și Reguli Stricte ===
* '''Tăierea Porturilor (`field(1,:)`):''' Este critică în frontend-ul HTTP. Fără această funcție, o cerere trimisă de browser către `domeniu.ro:80` va eșua la mapare deoarece fișierul `.map` conține doar cheia simplă `domeniu.ro`.
* '''Ordinea Regulilor în HAProxy:''' Regulile de tip `http-request deny` sunt evaluate de engine înaintea regulilor de tip `use_backend`. Din acest motiv, regula de deny trebuie să conțină neapărat clauza condițională `if ! { var(txn.backend) -m found }` pentru a nu bloca traficul legitim.
* '''Aplicarea Modificărilor:''' Ori de câte ori se adaugă un domeniu nou în fișierele `.map`, nu este necesar restartul serviciului, ci doar reîncărcarea configurării în memorie:
# haproxy -c -f /etc/haproxy/haproxy.cfg -f /etc/haproxy/conf.d/
# systemctl reload haproxy

HAProxy

2026-10-22T10:48:32Z

Wikiadmin: /* Configurare Backend */

== HAProxy - Load Balancing Standard (Grup Unic Backend) ==
[[File:HAProxy.png|782x616px|none|HAProxy]]
=== Instalare HAProxy ===
La instalare HAProxy activează serviciul systemd.
<code class="mw-code mw-highlight plainlinks" style="display:block"> # apt -y install haproxy
</code>

=== Structura fișierului de configurare ===

Fișierul principal:
<code class="mw-code mw-highlight plainlinks" style="display:block"> # nano /etc/haproxy/haproxy.cfg
</code>

Configurația este împărțită în:
* global – setări pentru procesul HAProxy
* defaults – setări implicite pentru toate secțiunile
* frontend – puncte de intrare pentru trafic
* backend – serverele către care se trimite traficul

==== Secțiunea global ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> global
 log /dev/log local0
 log /dev/log local1 notice
 maxconn 4096
 user haproxy
 group haproxy
 daemon
</code>

* log /dev/log local0 – trimite logurile către syslog.
* log /dev/log local1 notice – al doilea canal de log, nivel minim notice.
* maxconn 4096 – număr maxim de conexiuni simultane.
* user/group haproxy – rulează cu userul de sistem haproxy.
* daemon – rulează în background.

==== Secțiunea defaults ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> defaults
 log global
 mode http
 option httplog
 option dontlognull
 timeout connect 5s
 timeout client 30s
 timeout server 30s
</code>
* log global – folosește setările din secțiunea global.
* mode http – modul implicit pentru frontend/backend.*
* option httplog – loguri detaliate HTTP.
* option dontlognull – nu loghează conexiuni goale.
* timeout connect/client/server – limite de timp pentru conexiuni.
 * Dacă un frontend sau backend are propriul mode (ex: mode tcp), acesta suprascrie automat valoarea din defaults

==== Frontend HTTP (port 80) ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> frontend http_in
 bind *:80
 mode http
 option forwardfor
 default_backend http_webserver
</code>

* bind *:80 – ascultă pe portul 80.
* mode http – procesează header-ele HTTP.
* option forwardfor – adaugă X‑Forwarded‑For cu IP-ul real al clientului.
* default_backend http_webserver – trimite traficul către backend-ul HTTP.

==== Backend HTTP ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> backend http_webserver
 mode http
 balance leastconn
 option httpchk GET /
 server vm01 192.168.14.11:80 check
 server vm02 192.168.14.22:80 check
 server vm03 192.168.14.33:80 check
</code>

* mode http – backend-ul procesează HTTP.
* balance leastconn – trimite traficul către serverul cu cele mai puține conexiuni active.
* option httpchk GET / – health-check HTTP.
* server vm01/vm02/vm03 – cele trei VM.

=== HTTPS (port 443) cu SSL Termination în HAProxy ===

În această situaţie HAProxy gestionează certificatul.

==== Generare certificat Let’s Encrypt ====

Necesită port 80 public și domeniu valid. 
Certbot, în modul --standalone, pornește un mini‑webserver intern pe portul 80 pentru a răspunde la challenge-ul HTTP‑01 de la Let’s Encrypt. 
Dacă HAProxy este pornit, acesta ocupă portul 80 și Certbot nu poate porni serverul de validare, ceea ce duce la eșecul generării certificatului.

'''Instalare certbot'''

<code class="mw-code mw-highlight plainlinks" style="display:block"> apt -y install certbot
</code>

'''Oprire temporară HAProxy'''

<code class="mw-code mw-highlight plainlinks" style="display:block"> systemctl stop haproxy
</code>

'''Generare certificat'''

<code class="mw-code mw-highlight plainlinks" style="display:block"> certbot certonly --standalone -d wiki.stradivart.ro
</code>

'''Creare fișier PEM pentru HAProxy'''

<code class="mw-code mw-highlight plainlinks" style="display:block"> # mkdir -p /etc/haproxy/certs
 # cat /etc/letsencrypt/live/wiki.stradivart.ro/fullchain.pem \
 /etc/letsencrypt/live/wiki.stradivart.ro/privkey.pem \
 > /etc/haproxy/certs/wiki.stradivart.ro.pem
 # chmod 600 /etc/haproxy/certs/wiki.stradivart.ro.pem
</code>

==== Frontend HTTPS (SSL termination) ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> frontend https_in
 bind *:443 ssl crt /etc/haproxy/certs/wiki.stradivart.ro.pem
 mode http
 option forwardfor
 default_backend http_webserver
</code>
* *bind :443 ssl crt ... – HAProxy decriptează SSL.
* mode http – traficul devine HTTP după terminarea SSL.
* default_backend http_webserver – backend-ul HTTP unic.

==== Backend HTTPS (SSL termination) ====

În cazul SSL termination, backend-ul nu procesează trafic HTTPS. 
HAProxy decriptează SSL în frontend, iar backend-ul primește trafic HTTP normal (non‑SSL). 
De aceea backend-ul este identic cu backend-ul HTTP.

<code class="mw-code mw-highlight plainlinks" style="display:block"> backend http_webserver
 mode http
 balance leastconn
 option httpchk GET /
 server vm01 192.168.14.11:80 check
 server vm02 192.168.14.22:80 check
 server vm03 192.168.14.33:80 check
</code>

* mode http – backend-ul procesează HTTP.
* balance leastconn – trimite traficul către serverul cu cele mai puține conexiuni active.
* option httpchk GET / – health-check HTTP.
* server vm01/vm02/vm03 – cele trei VM.

=== HTTPS (port 443) cu SSL Passthrough ===

Webserver-ul gestionează certificatul. HAProxy doar forward-ează pachetele SSL.

==== Frontend HTTPS (SSL passthrough) ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> frontend https_in
 bind *:443
 mode tcp
 default_backend httpS_webserver
</code>

* *bind :443 – ascultă pe portul 443.
* mode tcp – HAProxy nu decriptează SSL.
* default_backend httpS_webserver – backend separat în modul TCP.

==== Backend HTTPS (SSL passthrough) ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> backend httpS_webserver
 mode tcp
 balance leastconn
 server vm01 192.168.14.11:443 check
 server vm02 192.168.14.22:443 check
 server vm03 192.168.14.33:443 check
</code>

* mode tcp – forward transparent al pachetelor SSL.
* balance leastconn – distribuție inteligentă.
* server vm01/vm02/vm03 – VM-urile ISPConfig.

=== Frontend HTTP (port 80) - ACME Challenge ===

Această secțiune descrie configurarea HAProxy pentru a permite generarea certificatelor Let’s Encrypt în ISPConfig atunci când HAProxy funcționează în modul SSL Passthrough.
Pentru validarea HTTP‑01, traficul către /.well-known/acme-challenge/ trebuie direcționat către backend-ul HTTP al ISPConfig.

==== Frontend HTTP (ACME Challenge Forwarding) ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> frontend http_in
 bind *:80
 mode http
 acl letsencrypt-acl path_beg /.well-known/acme-challenge/
 use_backend letsencrypt-backend if letsencrypt-acl
 default_backend ispconfig_http
</code>

* acl letsencrypt-acl path_beg - detectăm cererile ACME challenge
* use_backend - Forward ACME challenge către backend-ul dedicat
* default_backend - Restul traficului HTTP merge către backend-ul HTTP normal

==== Backend HTTP (ACME Challenge Forwarding) ====

Backend dedicat pentru Let’s Encrypt.
Acesta trebuie să trimită cererile către portul 80 al serverrelor ISPConfig.

<code class="mw-code mw-highlight plainlinks" style="display:block"> backend letsencrypt-backend
 mode http
 server isp1 192.168.14.11:80 check
 server isp2 192.168.14.22:80 check
 server isp3 192.168.14.33:80 check
</code>

==== Backend HTTP (trafic normal) ====

Backend-ul standard pentru HTTP (port 80), folosit pentru redirectări, panel ISPConfig, sau site-uri HTTP.

<code class="mw-code mw-highlight plainlinks" style="display:block"> backend ispconfig_http
 mode http
 balance roundrobin
 option httpchk GET /
 server isp1 192.168.14.11:80 check
 server isp2 192.168.14.22:80 check
 server isp3 192.168.14.33:80 check
</code>

=== Pagina de statistici HAProxy ===

<code class="mw-code mw-highlight plainlinks" style="display:block"> listen stats
 bind *:9000
 mode http
 stats enable
 stats uri /stats
 stats refresh 5s
 stats auth admin:pass123
</code>

* *bind :9000 – port dedicat pentru statistici.
* stats uri /stats – URL-ul paginii.
* stats auth – autentificare basic HTTP.

==== Accesare pagina de statistici ====
http://192.168.14.123:9000/stats

[[File:HAProxy stats.png|782x616px|none|HAProxy_stats]]

==== Ansible playbook pentru configurare ====

===== Fişiere necesare =====

{| class="responsive-three-cols"
|-
| class="col" style="vertical-align:middle; text-align:center; padding:15px;" |

[[File:Filethumb.png|thumb|right|link=Media:Inventory.ini|Descarcă fișierul de inventar si variabile]]

| class="col" style="vertical-align:middle; text-align:center; padding:15px;" |

[[File:Filethumb.png|thumb|right|link=Media:Haproxy.yaml|Descarcă fișierul de instalare și configurare iniţială]]

| class="col" style="vertical-align:middle; text-align:center; padding:15px;" |

[[File:Filethumb.png|thumb|right|link=Media:Haproxy-conf.yaml|Descarcă fișierul de actualizare a configurării]]

|}

===== Instalarea HAProxy si configurarea primului frontend şi backend =====

<code class="mw-code mw-highlight plainlinks" style="display:block"> # ansible-playbook -i /path/to/Inventory.ini /path/to/Haproxy.yaml
</code>

===== Confingurarea frontend şi backend pentru HAProxy =====

<code class="mw-code mw-highlight plainlinks" style="display:block"> # ansible-playbook -i /path/to/Inventory.ini /path/to/Haproxy-conf.yaml
</code>

== HAProxy cu SSL Passthrough și Mapări Dinamice Layer 7 ==
[[File:haproxyLayer7.png|782x616px|none|HAProxy Layer7]]

Acest scenariu avansat descrie configurarea HAProxy ca un "Router Layer 7 (Content-Based Switch)". Această arhitectură permite consolidarea mai multor domenii și subdomenii complet diferite pe un singur IP public extern, rutând traficul dinamic către mașini virtuale (backend-uri) separate, fără ca HAProxy să decripteze traficul SSL/TLS (SSL Passthrough).

=== Configurare Frontend-uri și Backend-uri Modulare ===

Fișierele sunt stocate modular în directorul inclus secundar (`conf.d/`).

==== Configurare Frontend ====

Fișierele sunt stocate modular în directorul inclus secundar (`conf.d/`).

<code class="mw-code mw-highlight plainlinks" style="display:block"> # nano /etc/haproxy/conf.d/websites.cfg
 
 # FRONTEND HTTP - Port 80 (Cu suport ACME Challenge integrat dinamic)
 
 frontend fe_http
 bind *:80
 mode http
 
 # Extrage stringul curat al domeniului (taie portul :80 trimis de unele browsere)
 http-request set-var(txn.backend) req.hdr(host),field(1,:),lower,map(/etc/haproxy/maps/web-http.map)
 
 # Detecție trafic ACME Challenge (Let's Encrypt / ISPConfig)
 acl is_acme path_beg /.well-known/acme-challenge/
 
 # Securitate: Blocare 403 dacă domeniul nu există în map ȘI nu este o cerere ACME
 http-request deny deny_status 403 if ! { var(txn.backend) -m found } !is_acme
 
 # Rutare: Trimite către backend-ul identificat în map
 use_backend %[var(txn.backend)] if { var(txn.backend) -m found }
 
 # Fallback obligatoriu pentru procesarea automată a certificatelor ACME generate în ISPConfig
 default_backend be_vm1_http
 
 # FRONTEND HTTPS - Port 443 (SSL Passthrough transparent pe bază de SNI)
 
 frontend fe_https
 bind *:443
 mode tcp
 
 # Inspectează pachetele inițiale TCP pentru a citi header-ul TLS nesecurizat
 tcp-request inspect-delay 5s
 tcp-request content accept if { req.ssl_hello_type 1 }
 
 # Rutare Layer 4 bazată pe SNI-ul extras din handshake-ul TLS potrivit în map-ul HTTPS
 use_backend %[req.ssl_sni,lower,map(/etc/haproxy/maps/web-https.map)]
 
 # Dacă domeniul accesat prin TLS nu există în map, conexiunea este respinsă direct
 default_backend be_https_deny
 
</code>

==== Configurare Backend ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> # nano /etc/haproxy/conf.d/websites.cfg
 
 # DEFINIRE BACKEND-URI SERVERE VIRTUALE
 
 # BACKEND-URI VM1 (192.168.14.11)
 backend be_vm1_http
 mode http
 server vm1_web 192.168.14.11:80 check
 
 backend be_vm1_https
 mode tcp
 server vm1_ssl 192.168.14.11:443 check
 
 # BACKEND-URI VM2 (192.168.14.22)
 backend be_vm2_http
 mode http
 server vm2_web 192.168.14.22:80 check
 
 backend be_vm2_https
 mode tcp
 server vm2_ssl 192.168.14.22:443 check
 
 # BACKEND-URI VM3 (192.168.14.33)
 backend be_vm3_http
 mode http
 server vm3_web 192.168.14.33:80 check
 
 backend be_vm3_https
 mode tcp
 server vm3_ssl 192.168.14.33:443 check
 
 # BACKEND SIGURANȚĂ (DENY)
 backend be_https_deny
 mode tcp
</code>

=== Structură Fișiere Mapare Dinamică ===

Pentru a evita modificarea continuă a fișierului principal de configurare la adăugarea de noi domenii, folosim fișiere de mapare de tip cheie-valoare (*.map).

==== Fișier Mapare HTTP (Port 80) ====
<code class="mw-code mw-highlight plainlinks" style="display:block"> # nano /etc/haproxy/maps/web-http.map
 # VM1 - 192.168.1.11
 domeniu.eu be_vm1_http
 sub.domeniu.eu be_vm1_http
 # VM2 - 192.168.1.22
 domeniu.com be_vm2_http
 sub.domeniu.com be_vm2_http
 # VM3 - 192.168.1.33
 domeniu.ro be_vm3_http
 sub.domeniu.ro be_vm3_http
</code>

==== Fișier Mapare HTTPS (Port 443) ====
<code class="mw-code mw-highlight plainlinks" style="display:block"> # nano /etc/haproxy/maps/web-https.map
 # VM1 - 192.168.1.11
 domeniu.eu be_vm1_https
 sub.domeniu.eu be_vm1_https
 # VM2 - 192.168.1.22
 domeniu.com be_vm2_https
 sub.domeniu.com be_vm2_https
 # VM3 - 192.168.1.33
 domeniu.ro be_vm3_https
 sub.domeniu.ro be_vm3_https
</code>

HAProxy

2026-10-22T10:48:25Z

Wikiadmin: /* Configurare Frontend */

== HAProxy - Load Balancing Standard (Grup Unic Backend) ==
[[File:HAProxy.png|782x616px|none|HAProxy]]
=== Instalare HAProxy ===
La instalare HAProxy activează serviciul systemd.
<code class="mw-code mw-highlight plainlinks" style="display:block"> # apt -y install haproxy
</code>

=== Structura fișierului de configurare ===

Fișierul principal:
<code class="mw-code mw-highlight plainlinks" style="display:block"> # nano /etc/haproxy/haproxy.cfg
</code>

Configurația este împărțită în:
* global – setări pentru procesul HAProxy
* defaults – setări implicite pentru toate secțiunile
* frontend – puncte de intrare pentru trafic
* backend – serverele către care se trimite traficul

==== Secțiunea global ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> global
 log /dev/log local0
 log /dev/log local1 notice
 maxconn 4096
 user haproxy
 group haproxy
 daemon
</code>

* log /dev/log local0 – trimite logurile către syslog.
* log /dev/log local1 notice – al doilea canal de log, nivel minim notice.
* maxconn 4096 – număr maxim de conexiuni simultane.
* user/group haproxy – rulează cu userul de sistem haproxy.
* daemon – rulează în background.

==== Secțiunea defaults ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> defaults
 log global
 mode http
 option httplog
 option dontlognull
 timeout connect 5s
 timeout client 30s
 timeout server 30s
</code>
* log global – folosește setările din secțiunea global.
* mode http – modul implicit pentru frontend/backend.*
* option httplog – loguri detaliate HTTP.
* option dontlognull – nu loghează conexiuni goale.
* timeout connect/client/server – limite de timp pentru conexiuni.
 * Dacă un frontend sau backend are propriul mode (ex: mode tcp), acesta suprascrie automat valoarea din defaults

==== Frontend HTTP (port 80) ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> frontend http_in
 bind *:80
 mode http
 option forwardfor
 default_backend http_webserver
</code>

* bind *:80 – ascultă pe portul 80.
* mode http – procesează header-ele HTTP.
* option forwardfor – adaugă X‑Forwarded‑For cu IP-ul real al clientului.
* default_backend http_webserver – trimite traficul către backend-ul HTTP.

==== Backend HTTP ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> backend http_webserver
 mode http
 balance leastconn
 option httpchk GET /
 server vm01 192.168.14.11:80 check
 server vm02 192.168.14.22:80 check
 server vm03 192.168.14.33:80 check
</code>

* mode http – backend-ul procesează HTTP.
* balance leastconn – trimite traficul către serverul cu cele mai puține conexiuni active.
* option httpchk GET / – health-check HTTP.
* server vm01/vm02/vm03 – cele trei VM.

=== HTTPS (port 443) cu SSL Termination în HAProxy ===

În această situaţie HAProxy gestionează certificatul.

==== Generare certificat Let’s Encrypt ====

Necesită port 80 public și domeniu valid. 
Certbot, în modul --standalone, pornește un mini‑webserver intern pe portul 80 pentru a răspunde la challenge-ul HTTP‑01 de la Let’s Encrypt. 
Dacă HAProxy este pornit, acesta ocupă portul 80 și Certbot nu poate porni serverul de validare, ceea ce duce la eșecul generării certificatului.

'''Instalare certbot'''

<code class="mw-code mw-highlight plainlinks" style="display:block"> apt -y install certbot
</code>

'''Oprire temporară HAProxy'''

<code class="mw-code mw-highlight plainlinks" style="display:block"> systemctl stop haproxy
</code>

'''Generare certificat'''

<code class="mw-code mw-highlight plainlinks" style="display:block"> certbot certonly --standalone -d wiki.stradivart.ro
</code>

'''Creare fișier PEM pentru HAProxy'''

<code class="mw-code mw-highlight plainlinks" style="display:block"> # mkdir -p /etc/haproxy/certs
 # cat /etc/letsencrypt/live/wiki.stradivart.ro/fullchain.pem \
 /etc/letsencrypt/live/wiki.stradivart.ro/privkey.pem \
 > /etc/haproxy/certs/wiki.stradivart.ro.pem
 # chmod 600 /etc/haproxy/certs/wiki.stradivart.ro.pem
</code>

==== Frontend HTTPS (SSL termination) ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> frontend https_in
 bind *:443 ssl crt /etc/haproxy/certs/wiki.stradivart.ro.pem
 mode http
 option forwardfor
 default_backend http_webserver
</code>
* *bind :443 ssl crt ... – HAProxy decriptează SSL.
* mode http – traficul devine HTTP după terminarea SSL.
* default_backend http_webserver – backend-ul HTTP unic.

==== Backend HTTPS (SSL termination) ====

În cazul SSL termination, backend-ul nu procesează trafic HTTPS. 
HAProxy decriptează SSL în frontend, iar backend-ul primește trafic HTTP normal (non‑SSL). 
De aceea backend-ul este identic cu backend-ul HTTP.

<code class="mw-code mw-highlight plainlinks" style="display:block"> backend http_webserver
 mode http
 balance leastconn
 option httpchk GET /
 server vm01 192.168.14.11:80 check
 server vm02 192.168.14.22:80 check
 server vm03 192.168.14.33:80 check
</code>

* mode http – backend-ul procesează HTTP.
* balance leastconn – trimite traficul către serverul cu cele mai puține conexiuni active.
* option httpchk GET / – health-check HTTP.
* server vm01/vm02/vm03 – cele trei VM.

=== HTTPS (port 443) cu SSL Passthrough ===

Webserver-ul gestionează certificatul. HAProxy doar forward-ează pachetele SSL.

==== Frontend HTTPS (SSL passthrough) ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> frontend https_in
 bind *:443
 mode tcp
 default_backend httpS_webserver
</code>

* *bind :443 – ascultă pe portul 443.
* mode tcp – HAProxy nu decriptează SSL.
* default_backend httpS_webserver – backend separat în modul TCP.

==== Backend HTTPS (SSL passthrough) ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> backend httpS_webserver
 mode tcp
 balance leastconn
 server vm01 192.168.14.11:443 check
 server vm02 192.168.14.22:443 check
 server vm03 192.168.14.33:443 check
</code>

* mode tcp – forward transparent al pachetelor SSL.
* balance leastconn – distribuție inteligentă.
* server vm01/vm02/vm03 – VM-urile ISPConfig.

=== Frontend HTTP (port 80) - ACME Challenge ===

Această secțiune descrie configurarea HAProxy pentru a permite generarea certificatelor Let’s Encrypt în ISPConfig atunci când HAProxy funcționează în modul SSL Passthrough.
Pentru validarea HTTP‑01, traficul către /.well-known/acme-challenge/ trebuie direcționat către backend-ul HTTP al ISPConfig.

==== Frontend HTTP (ACME Challenge Forwarding) ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> frontend http_in
 bind *:80
 mode http
 acl letsencrypt-acl path_beg /.well-known/acme-challenge/
 use_backend letsencrypt-backend if letsencrypt-acl
 default_backend ispconfig_http
</code>

* acl letsencrypt-acl path_beg - detectăm cererile ACME challenge
* use_backend - Forward ACME challenge către backend-ul dedicat
* default_backend - Restul traficului HTTP merge către backend-ul HTTP normal

==== Backend HTTP (ACME Challenge Forwarding) ====

Backend dedicat pentru Let’s Encrypt.
Acesta trebuie să trimită cererile către portul 80 al serverrelor ISPConfig.

<code class="mw-code mw-highlight plainlinks" style="display:block"> backend letsencrypt-backend
 mode http
 server isp1 192.168.14.11:80 check
 server isp2 192.168.14.22:80 check
 server isp3 192.168.14.33:80 check
</code>

==== Backend HTTP (trafic normal) ====

Backend-ul standard pentru HTTP (port 80), folosit pentru redirectări, panel ISPConfig, sau site-uri HTTP.

<code class="mw-code mw-highlight plainlinks" style="display:block"> backend ispconfig_http
 mode http
 balance roundrobin
 option httpchk GET /
 server isp1 192.168.14.11:80 check
 server isp2 192.168.14.22:80 check
 server isp3 192.168.14.33:80 check
</code>

=== Pagina de statistici HAProxy ===

<code class="mw-code mw-highlight plainlinks" style="display:block"> listen stats
 bind *:9000
 mode http
 stats enable
 stats uri /stats
 stats refresh 5s
 stats auth admin:pass123
</code>

* *bind :9000 – port dedicat pentru statistici.
* stats uri /stats – URL-ul paginii.
* stats auth – autentificare basic HTTP.

==== Accesare pagina de statistici ====
http://192.168.14.123:9000/stats

[[File:HAProxy stats.png|782x616px|none|HAProxy_stats]]

==== Ansible playbook pentru configurare ====

===== Fişiere necesare =====

{| class="responsive-three-cols"
|-
| class="col" style="vertical-align:middle; text-align:center; padding:15px;" |

[[File:Filethumb.png|thumb|right|link=Media:Inventory.ini|Descarcă fișierul de inventar si variabile]]

| class="col" style="vertical-align:middle; text-align:center; padding:15px;" |

[[File:Filethumb.png|thumb|right|link=Media:Haproxy.yaml|Descarcă fișierul de instalare și configurare iniţială]]

| class="col" style="vertical-align:middle; text-align:center; padding:15px;" |

[[File:Filethumb.png|thumb|right|link=Media:Haproxy-conf.yaml|Descarcă fișierul de actualizare a configurării]]

|}

===== Instalarea HAProxy si configurarea primului frontend şi backend =====

<code class="mw-code mw-highlight plainlinks" style="display:block"> # ansible-playbook -i /path/to/Inventory.ini /path/to/Haproxy.yaml
</code>

===== Confingurarea frontend şi backend pentru HAProxy =====

<code class="mw-code mw-highlight plainlinks" style="display:block"> # ansible-playbook -i /path/to/Inventory.ini /path/to/Haproxy-conf.yaml
</code>

== HAProxy cu SSL Passthrough și Mapări Dinamice Layer 7 ==
[[File:haproxyLayer7.png|782x616px|none|HAProxy Layer7]]

Acest scenariu avansat descrie configurarea HAProxy ca un "Router Layer 7 (Content-Based Switch)". Această arhitectură permite consolidarea mai multor domenii și subdomenii complet diferite pe un singur IP public extern, rutând traficul dinamic către mașini virtuale (backend-uri) separate, fără ca HAProxy să decripteze traficul SSL/TLS (SSL Passthrough).

=== Configurare Frontend-uri și Backend-uri Modulare ===

Fișierele sunt stocate modular în directorul inclus secundar (`conf.d/`).

==== Configurare Frontend ====

Fișierele sunt stocate modular în directorul inclus secundar (`conf.d/`).

<code class="mw-code mw-highlight plainlinks" style="display:block"> # nano /etc/haproxy/conf.d/websites.cfg
 
 # FRONTEND HTTP - Port 80 (Cu suport ACME Challenge integrat dinamic)
 
 frontend fe_http
 bind *:80
 mode http
 
 # Extrage stringul curat al domeniului (taie portul :80 trimis de unele browsere)
 http-request set-var(txn.backend) req.hdr(host),field(1,:),lower,map(/etc/haproxy/maps/web-http.map)
 
 # Detecție trafic ACME Challenge (Let's Encrypt / ISPConfig)
 acl is_acme path_beg /.well-known/acme-challenge/
 
 # Securitate: Blocare 403 dacă domeniul nu există în map ȘI nu este o cerere ACME
 http-request deny deny_status 403 if ! { var(txn.backend) -m found } !is_acme
 
 # Rutare: Trimite către backend-ul identificat în map
 use_backend %[var(txn.backend)] if { var(txn.backend) -m found }
 
 # Fallback obligatoriu pentru procesarea automată a certificatelor ACME generate în ISPConfig
 default_backend be_vm1_http
 
 # FRONTEND HTTPS - Port 443 (SSL Passthrough transparent pe bază de SNI)
 
 frontend fe_https
 bind *:443
 mode tcp
 
 # Inspectează pachetele inițiale TCP pentru a citi header-ul TLS nesecurizat
 tcp-request inspect-delay 5s
 tcp-request content accept if { req.ssl_hello_type 1 }
 
 # Rutare Layer 4 bazată pe SNI-ul extras din handshake-ul TLS potrivit în map-ul HTTPS
 use_backend %[req.ssl_sni,lower,map(/etc/haproxy/maps/web-https.map)]
 
 # Dacă domeniul accesat prin TLS nu există în map, conexiunea este respinsă direct
 default_backend be_https_deny
 
</code>

=== Configurare Backend ===

<code class="mw-code mw-highlight plainlinks" style="display:block"> # nano /etc/haproxy/conf.d/websites.cfg
 
 # DEFINIRE BACKEND-URI SERVERE VIRTUALE
 
 # BACKEND-URI VM1 (192.168.14.11)
 backend be_vm1_http
 mode http
 server vm1_web 192.168.14.11:80 check
 
 backend be_vm1_https
 mode tcp
 server vm1_ssl 192.168.14.11:443 check
 
 # BACKEND-URI VM2 (192.168.14.22)
 backend be_vm2_http
 mode http
 server vm2_web 192.168.14.22:80 check
 
 backend be_vm2_https
 mode tcp
 server vm2_ssl 192.168.14.22:443 check
 
 # BACKEND-URI VM3 (192.168.14.33)
 backend be_vm3_http
 mode http
 server vm3_web 192.168.14.33:80 check
 
 backend be_vm3_https
 mode tcp
 server vm3_ssl 192.168.14.33:443 check
 
 # BACKEND SIGURANȚĂ (DENY)
 backend be_https_deny
 mode tcp
</code>

=== Structură Fișiere Mapare Dinamică ===

Pentru a evita modificarea continuă a fișierului principal de configurare la adăugarea de noi domenii, folosim fișiere de mapare de tip cheie-valoare (*.map).

==== Fișier Mapare HTTP (Port 80) ====
<code class="mw-code mw-highlight plainlinks" style="display:block"> # nano /etc/haproxy/maps/web-http.map
 # VM1 - 192.168.1.11
 domeniu.eu be_vm1_http
 sub.domeniu.eu be_vm1_http
 # VM2 - 192.168.1.22
 domeniu.com be_vm2_http
 sub.domeniu.com be_vm2_http
 # VM3 - 192.168.1.33
 domeniu.ro be_vm3_http
 sub.domeniu.ro be_vm3_http
</code>

==== Fișier Mapare HTTPS (Port 443) ====
<code class="mw-code mw-highlight plainlinks" style="display:block"> # nano /etc/haproxy/maps/web-https.map
 # VM1 - 192.168.1.11
 domeniu.eu be_vm1_https
 sub.domeniu.eu be_vm1_https
 # VM2 - 192.168.1.22
 domeniu.com be_vm2_https
 sub.domeniu.com be_vm2_https
 # VM3 - 192.168.1.33
 domeniu.ro be_vm3_https
 sub.domeniu.ro be_vm3_https
</code>

HAProxy

2026-10-22T10:47:19Z

Wikiadmin: /* Configurare Backend */

== HAProxy - Load Balancing Standard (Grup Unic Backend) ==
[[File:HAProxy.png|782x616px|none|HAProxy]]
=== Instalare HAProxy ===
La instalare HAProxy activează serviciul systemd.
<code class="mw-code mw-highlight plainlinks" style="display:block"> # apt -y install haproxy
</code>

=== Structura fișierului de configurare ===

Fișierul principal:
<code class="mw-code mw-highlight plainlinks" style="display:block"> # nano /etc/haproxy/haproxy.cfg
</code>

Configurația este împărțită în:
* global – setări pentru procesul HAProxy
* defaults – setări implicite pentru toate secțiunile
* frontend – puncte de intrare pentru trafic
* backend – serverele către care se trimite traficul

==== Secțiunea global ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> global
 log /dev/log local0
 log /dev/log local1 notice
 maxconn 4096
 user haproxy
 group haproxy
 daemon
</code>

* log /dev/log local0 – trimite logurile către syslog.
* log /dev/log local1 notice – al doilea canal de log, nivel minim notice.
* maxconn 4096 – număr maxim de conexiuni simultane.
* user/group haproxy – rulează cu userul de sistem haproxy.
* daemon – rulează în background.

==== Secțiunea defaults ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> defaults
 log global
 mode http
 option httplog
 option dontlognull
 timeout connect 5s
 timeout client 30s
 timeout server 30s
</code>
* log global – folosește setările din secțiunea global.
* mode http – modul implicit pentru frontend/backend.*
* option httplog – loguri detaliate HTTP.
* option dontlognull – nu loghează conexiuni goale.
* timeout connect/client/server – limite de timp pentru conexiuni.
 * Dacă un frontend sau backend are propriul mode (ex: mode tcp), acesta suprascrie automat valoarea din defaults

==== Frontend HTTP (port 80) ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> frontend http_in
 bind *:80
 mode http
 option forwardfor
 default_backend http_webserver
</code>

* bind *:80 – ascultă pe portul 80.
* mode http – procesează header-ele HTTP.
* option forwardfor – adaugă X‑Forwarded‑For cu IP-ul real al clientului.
* default_backend http_webserver – trimite traficul către backend-ul HTTP.

==== Backend HTTP ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> backend http_webserver
 mode http
 balance leastconn
 option httpchk GET /
 server vm01 192.168.14.11:80 check
 server vm02 192.168.14.22:80 check
 server vm03 192.168.14.33:80 check
</code>

* mode http – backend-ul procesează HTTP.
* balance leastconn – trimite traficul către serverul cu cele mai puține conexiuni active.
* option httpchk GET / – health-check HTTP.
* server vm01/vm02/vm03 – cele trei VM.

=== HTTPS (port 443) cu SSL Termination în HAProxy ===

În această situaţie HAProxy gestionează certificatul.

==== Generare certificat Let’s Encrypt ====

Necesită port 80 public și domeniu valid. 
Certbot, în modul --standalone, pornește un mini‑webserver intern pe portul 80 pentru a răspunde la challenge-ul HTTP‑01 de la Let’s Encrypt. 
Dacă HAProxy este pornit, acesta ocupă portul 80 și Certbot nu poate porni serverul de validare, ceea ce duce la eșecul generării certificatului.

'''Instalare certbot'''

<code class="mw-code mw-highlight plainlinks" style="display:block"> apt -y install certbot
</code>

'''Oprire temporară HAProxy'''

<code class="mw-code mw-highlight plainlinks" style="display:block"> systemctl stop haproxy
</code>

'''Generare certificat'''

<code class="mw-code mw-highlight plainlinks" style="display:block"> certbot certonly --standalone -d wiki.stradivart.ro
</code>

'''Creare fișier PEM pentru HAProxy'''

<code class="mw-code mw-highlight plainlinks" style="display:block"> # mkdir -p /etc/haproxy/certs
 # cat /etc/letsencrypt/live/wiki.stradivart.ro/fullchain.pem \
 /etc/letsencrypt/live/wiki.stradivart.ro/privkey.pem \
 > /etc/haproxy/certs/wiki.stradivart.ro.pem
 # chmod 600 /etc/haproxy/certs/wiki.stradivart.ro.pem
</code>

==== Frontend HTTPS (SSL termination) ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> frontend https_in
 bind *:443 ssl crt /etc/haproxy/certs/wiki.stradivart.ro.pem
 mode http
 option forwardfor
 default_backend http_webserver
</code>
* *bind :443 ssl crt ... – HAProxy decriptează SSL.
* mode http – traficul devine HTTP după terminarea SSL.
* default_backend http_webserver – backend-ul HTTP unic.

==== Backend HTTPS (SSL termination) ====

În cazul SSL termination, backend-ul nu procesează trafic HTTPS. 
HAProxy decriptează SSL în frontend, iar backend-ul primește trafic HTTP normal (non‑SSL). 
De aceea backend-ul este identic cu backend-ul HTTP.

<code class="mw-code mw-highlight plainlinks" style="display:block"> backend http_webserver
 mode http
 balance leastconn
 option httpchk GET /
 server vm01 192.168.14.11:80 check
 server vm02 192.168.14.22:80 check
 server vm03 192.168.14.33:80 check
</code>

* mode http – backend-ul procesează HTTP.
* balance leastconn – trimite traficul către serverul cu cele mai puține conexiuni active.
* option httpchk GET / – health-check HTTP.
* server vm01/vm02/vm03 – cele trei VM.

=== HTTPS (port 443) cu SSL Passthrough ===

Webserver-ul gestionează certificatul. HAProxy doar forward-ează pachetele SSL.

==== Frontend HTTPS (SSL passthrough) ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> frontend https_in
 bind *:443
 mode tcp
 default_backend httpS_webserver
</code>

* *bind :443 – ascultă pe portul 443.
* mode tcp – HAProxy nu decriptează SSL.
* default_backend httpS_webserver – backend separat în modul TCP.

==== Backend HTTPS (SSL passthrough) ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> backend httpS_webserver
 mode tcp
 balance leastconn
 server vm01 192.168.14.11:443 check
 server vm02 192.168.14.22:443 check
 server vm03 192.168.14.33:443 check
</code>

* mode tcp – forward transparent al pachetelor SSL.
* balance leastconn – distribuție inteligentă.
* server vm01/vm02/vm03 – VM-urile ISPConfig.

=== Frontend HTTP (port 80) - ACME Challenge ===

Această secțiune descrie configurarea HAProxy pentru a permite generarea certificatelor Let’s Encrypt în ISPConfig atunci când HAProxy funcționează în modul SSL Passthrough.
Pentru validarea HTTP‑01, traficul către /.well-known/acme-challenge/ trebuie direcționat către backend-ul HTTP al ISPConfig.

==== Frontend HTTP (ACME Challenge Forwarding) ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> frontend http_in
 bind *:80
 mode http
 acl letsencrypt-acl path_beg /.well-known/acme-challenge/
 use_backend letsencrypt-backend if letsencrypt-acl
 default_backend ispconfig_http
</code>

* acl letsencrypt-acl path_beg - detectăm cererile ACME challenge
* use_backend - Forward ACME challenge către backend-ul dedicat
* default_backend - Restul traficului HTTP merge către backend-ul HTTP normal

==== Backend HTTP (ACME Challenge Forwarding) ====

Backend dedicat pentru Let’s Encrypt.
Acesta trebuie să trimită cererile către portul 80 al serverrelor ISPConfig.

<code class="mw-code mw-highlight plainlinks" style="display:block"> backend letsencrypt-backend
 mode http
 server isp1 192.168.14.11:80 check
 server isp2 192.168.14.22:80 check
 server isp3 192.168.14.33:80 check
</code>

==== Backend HTTP (trafic normal) ====

Backend-ul standard pentru HTTP (port 80), folosit pentru redirectări, panel ISPConfig, sau site-uri HTTP.

<code class="mw-code mw-highlight plainlinks" style="display:block"> backend ispconfig_http
 mode http
 balance roundrobin
 option httpchk GET /
 server isp1 192.168.14.11:80 check
 server isp2 192.168.14.22:80 check
 server isp3 192.168.14.33:80 check
</code>

=== Pagina de statistici HAProxy ===

<code class="mw-code mw-highlight plainlinks" style="display:block"> listen stats
 bind *:9000
 mode http
 stats enable
 stats uri /stats
 stats refresh 5s
 stats auth admin:pass123
</code>

* *bind :9000 – port dedicat pentru statistici.
* stats uri /stats – URL-ul paginii.
* stats auth – autentificare basic HTTP.

==== Accesare pagina de statistici ====
http://192.168.14.123:9000/stats

[[File:HAProxy stats.png|782x616px|none|HAProxy_stats]]

==== Ansible playbook pentru configurare ====

===== Fişiere necesare =====

{| class="responsive-three-cols"
|-
| class="col" style="vertical-align:middle; text-align:center; padding:15px;" |

[[File:Filethumb.png|thumb|right|link=Media:Inventory.ini|Descarcă fișierul de inventar si variabile]]

| class="col" style="vertical-align:middle; text-align:center; padding:15px;" |

[[File:Filethumb.png|thumb|right|link=Media:Haproxy.yaml|Descarcă fișierul de instalare și configurare iniţială]]

| class="col" style="vertical-align:middle; text-align:center; padding:15px;" |

[[File:Filethumb.png|thumb|right|link=Media:Haproxy-conf.yaml|Descarcă fișierul de actualizare a configurării]]

|}

===== Instalarea HAProxy si configurarea primului frontend şi backend =====

<code class="mw-code mw-highlight plainlinks" style="display:block"> # ansible-playbook -i /path/to/Inventory.ini /path/to/Haproxy.yaml
</code>

===== Confingurarea frontend şi backend pentru HAProxy =====

<code class="mw-code mw-highlight plainlinks" style="display:block"> # ansible-playbook -i /path/to/Inventory.ini /path/to/Haproxy-conf.yaml
</code>

== HAProxy cu SSL Passthrough și Mapări Dinamice Layer 7 ==
[[File:haproxyLayer7.png|782x616px|none|HAProxy Layer7]]

Acest scenariu avansat descrie configurarea HAProxy ca un "Router Layer 7 (Content-Based Switch)". Această arhitectură permite consolidarea mai multor domenii și subdomenii complet diferite pe un singur IP public extern, rutând traficul dinamic către mașini virtuale (backend-uri) separate, fără ca HAProxy să decripteze traficul SSL/TLS (SSL Passthrough).

=== Configurare Frontend ===

Fișierele sunt stocate modular în directorul inclus secundar (`conf.d/`).

<code class="mw-code mw-highlight plainlinks" style="display:block"> # nano /etc/haproxy/conf.d/websites.cfg
 
 # FRONTEND HTTP - Port 80 (Cu suport ACME Challenge integrat dinamic)
 
 frontend fe_http
 bind *:80
 mode http
 
 # Extrage stringul curat al domeniului (taie portul :80 trimis de unele browsere)
 http-request set-var(txn.backend) req.hdr(host),field(1,:),lower,map(/etc/haproxy/maps/web-http.map)
 
 # Detecție trafic ACME Challenge (Let's Encrypt / ISPConfig)
 acl is_acme path_beg /.well-known/acme-challenge/
 
 # Securitate: Blocare 403 dacă domeniul nu există în map ȘI nu este o cerere ACME
 http-request deny deny_status 403 if ! { var(txn.backend) -m found } !is_acme
 
 # Rutare: Trimite către backend-ul identificat în map
 use_backend %[var(txn.backend)] if { var(txn.backend) -m found }
 
 # Fallback obligatoriu pentru procesarea automată a certificatelor ACME generate în ISPConfig
 default_backend be_vm1_http
 
 # FRONTEND HTTPS - Port 443 (SSL Passthrough transparent pe bază de SNI)
 
 frontend fe_https
 bind *:443
 mode tcp
 
 # Inspectează pachetele inițiale TCP pentru a citi header-ul TLS nesecurizat
 tcp-request inspect-delay 5s
 tcp-request content accept if { req.ssl_hello_type 1 }
 
 # Rutare Layer 4 bazată pe SNI-ul extras din handshake-ul TLS potrivit în map-ul HTTPS
 use_backend %[req.ssl_sni,lower,map(/etc/haproxy/maps/web-https.map)]
 
 # Dacă domeniul accesat prin TLS nu există în map, conexiunea este respinsă direct
 default_backend be_https_deny
 
</code>

=== Configurare Backend ===

<code class="mw-code mw-highlight plainlinks" style="display:block"> # nano /etc/haproxy/conf.d/websites.cfg
 
 # DEFINIRE BACKEND-URI SERVERE VIRTUALE
 
 # BACKEND-URI VM1 (192.168.14.11)
 backend be_vm1_http
 mode http
 server vm1_web 192.168.14.11:80 check
 
 backend be_vm1_https
 mode tcp
 server vm1_ssl 192.168.14.11:443 check
 
 # BACKEND-URI VM2 (192.168.14.22)
 backend be_vm2_http
 mode http
 server vm2_web 192.168.14.22:80 check
 
 backend be_vm2_https
 mode tcp
 server vm2_ssl 192.168.14.22:443 check
 
 # BACKEND-URI VM3 (192.168.14.33)
 backend be_vm3_http
 mode http
 server vm3_web 192.168.14.33:80 check
 
 backend be_vm3_https
 mode tcp
 server vm3_ssl 192.168.14.33:443 check
 
 # BACKEND SIGURANȚĂ (DENY)
 backend be_https_deny
 mode tcp
</code>

=== Structură Fișiere Mapare Dinamică ===

Pentru a evita modificarea continuă a fișierului principal de configurare la adăugarea de noi domenii, folosim fișiere de mapare de tip cheie-valoare (*.map).

==== Fișier Mapare HTTP (Port 80) ====
<code class="mw-code mw-highlight plainlinks" style="display:block"> # nano /etc/haproxy/maps/web-http.map
 # VM1 - 192.168.1.11
 domeniu.eu be_vm1_http
 sub.domeniu.eu be_vm1_http
 # VM2 - 192.168.1.22
 domeniu.com be_vm2_http
 sub.domeniu.com be_vm2_http
 # VM3 - 192.168.1.33
 domeniu.ro be_vm3_http
 sub.domeniu.ro be_vm3_http
</code>

==== Fișier Mapare HTTPS (Port 443) ====
<code class="mw-code mw-highlight plainlinks" style="display:block"> # nano /etc/haproxy/maps/web-https.map
 # VM1 - 192.168.1.11
 domeniu.eu be_vm1_https
 sub.domeniu.eu be_vm1_https
 # VM2 - 192.168.1.22
 domeniu.com be_vm2_https
 sub.domeniu.com be_vm2_https
 # VM3 - 192.168.1.33
 domeniu.ro be_vm3_https
 sub.domeniu.ro be_vm3_https
</code>

HAProxy

2026-10-22T10:46:14Z

Wikiadmin: /* HAProxy cu SSL Passthrough și Mapări Dinamice Layer 7 */

== HAProxy - Load Balancing Standard (Grup Unic Backend) ==
[[File:HAProxy.png|782x616px|none|HAProxy]]
=== Instalare HAProxy ===
La instalare HAProxy activează serviciul systemd.
<code class="mw-code mw-highlight plainlinks" style="display:block"> # apt -y install haproxy
</code>

=== Structura fișierului de configurare ===

Fișierul principal:
<code class="mw-code mw-highlight plainlinks" style="display:block"> # nano /etc/haproxy/haproxy.cfg
</code>

Configurația este împărțită în:
* global – setări pentru procesul HAProxy
* defaults – setări implicite pentru toate secțiunile
* frontend – puncte de intrare pentru trafic
* backend – serverele către care se trimite traficul

==== Secțiunea global ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> global
 log /dev/log local0
 log /dev/log local1 notice
 maxconn 4096
 user haproxy
 group haproxy
 daemon
</code>

* log /dev/log local0 – trimite logurile către syslog.
* log /dev/log local1 notice – al doilea canal de log, nivel minim notice.
* maxconn 4096 – număr maxim de conexiuni simultane.
* user/group haproxy – rulează cu userul de sistem haproxy.
* daemon – rulează în background.

==== Secțiunea defaults ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> defaults
 log global
 mode http
 option httplog
 option dontlognull
 timeout connect 5s
 timeout client 30s
 timeout server 30s
</code>
* log global – folosește setările din secțiunea global.
* mode http – modul implicit pentru frontend/backend.*
* option httplog – loguri detaliate HTTP.
* option dontlognull – nu loghează conexiuni goale.
* timeout connect/client/server – limite de timp pentru conexiuni.
 * Dacă un frontend sau backend are propriul mode (ex: mode tcp), acesta suprascrie automat valoarea din defaults

==== Frontend HTTP (port 80) ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> frontend http_in
 bind *:80
 mode http
 option forwardfor
 default_backend http_webserver
</code>

* bind *:80 – ascultă pe portul 80.
* mode http – procesează header-ele HTTP.
* option forwardfor – adaugă X‑Forwarded‑For cu IP-ul real al clientului.
* default_backend http_webserver – trimite traficul către backend-ul HTTP.

==== Backend HTTP ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> backend http_webserver
 mode http
 balance leastconn
 option httpchk GET /
 server vm01 192.168.14.11:80 check
 server vm02 192.168.14.22:80 check
 server vm03 192.168.14.33:80 check
</code>

* mode http – backend-ul procesează HTTP.
* balance leastconn – trimite traficul către serverul cu cele mai puține conexiuni active.
* option httpchk GET / – health-check HTTP.
* server vm01/vm02/vm03 – cele trei VM.

=== HTTPS (port 443) cu SSL Termination în HAProxy ===

În această situaţie HAProxy gestionează certificatul.

==== Generare certificat Let’s Encrypt ====

Necesită port 80 public și domeniu valid. 
Certbot, în modul --standalone, pornește un mini‑webserver intern pe portul 80 pentru a răspunde la challenge-ul HTTP‑01 de la Let’s Encrypt. 
Dacă HAProxy este pornit, acesta ocupă portul 80 și Certbot nu poate porni serverul de validare, ceea ce duce la eșecul generării certificatului.

'''Instalare certbot'''

<code class="mw-code mw-highlight plainlinks" style="display:block"> apt -y install certbot
</code>

'''Oprire temporară HAProxy'''

<code class="mw-code mw-highlight plainlinks" style="display:block"> systemctl stop haproxy
</code>

'''Generare certificat'''

<code class="mw-code mw-highlight plainlinks" style="display:block"> certbot certonly --standalone -d wiki.stradivart.ro
</code>

'''Creare fișier PEM pentru HAProxy'''

<code class="mw-code mw-highlight plainlinks" style="display:block"> # mkdir -p /etc/haproxy/certs
 # cat /etc/letsencrypt/live/wiki.stradivart.ro/fullchain.pem \
 /etc/letsencrypt/live/wiki.stradivart.ro/privkey.pem \
 > /etc/haproxy/certs/wiki.stradivart.ro.pem
 # chmod 600 /etc/haproxy/certs/wiki.stradivart.ro.pem
</code>

==== Frontend HTTPS (SSL termination) ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> frontend https_in
 bind *:443 ssl crt /etc/haproxy/certs/wiki.stradivart.ro.pem
 mode http
 option forwardfor
 default_backend http_webserver
</code>
* *bind :443 ssl crt ... – HAProxy decriptează SSL.
* mode http – traficul devine HTTP după terminarea SSL.
* default_backend http_webserver – backend-ul HTTP unic.

==== Backend HTTPS (SSL termination) ====

În cazul SSL termination, backend-ul nu procesează trafic HTTPS. 
HAProxy decriptează SSL în frontend, iar backend-ul primește trafic HTTP normal (non‑SSL). 
De aceea backend-ul este identic cu backend-ul HTTP.

<code class="mw-code mw-highlight plainlinks" style="display:block"> backend http_webserver
 mode http
 balance leastconn
 option httpchk GET /
 server vm01 192.168.14.11:80 check
 server vm02 192.168.14.22:80 check
 server vm03 192.168.14.33:80 check
</code>

* mode http – backend-ul procesează HTTP.
* balance leastconn – trimite traficul către serverul cu cele mai puține conexiuni active.
* option httpchk GET / – health-check HTTP.
* server vm01/vm02/vm03 – cele trei VM.

=== HTTPS (port 443) cu SSL Passthrough ===

Webserver-ul gestionează certificatul. HAProxy doar forward-ează pachetele SSL.

==== Frontend HTTPS (SSL passthrough) ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> frontend https_in
 bind *:443
 mode tcp
 default_backend httpS_webserver
</code>

* *bind :443 – ascultă pe portul 443.
* mode tcp – HAProxy nu decriptează SSL.
* default_backend httpS_webserver – backend separat în modul TCP.

==== Backend HTTPS (SSL passthrough) ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> backend httpS_webserver
 mode tcp
 balance leastconn
 server vm01 192.168.14.11:443 check
 server vm02 192.168.14.22:443 check
 server vm03 192.168.14.33:443 check
</code>

* mode tcp – forward transparent al pachetelor SSL.
* balance leastconn – distribuție inteligentă.
* server vm01/vm02/vm03 – VM-urile ISPConfig.

=== Frontend HTTP (port 80) - ACME Challenge ===

Această secțiune descrie configurarea HAProxy pentru a permite generarea certificatelor Let’s Encrypt în ISPConfig atunci când HAProxy funcționează în modul SSL Passthrough.
Pentru validarea HTTP‑01, traficul către /.well-known/acme-challenge/ trebuie direcționat către backend-ul HTTP al ISPConfig.

==== Frontend HTTP (ACME Challenge Forwarding) ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> frontend http_in
 bind *:80
 mode http
 acl letsencrypt-acl path_beg /.well-known/acme-challenge/
 use_backend letsencrypt-backend if letsencrypt-acl
 default_backend ispconfig_http
</code>

* acl letsencrypt-acl path_beg - detectăm cererile ACME challenge
* use_backend - Forward ACME challenge către backend-ul dedicat
* default_backend - Restul traficului HTTP merge către backend-ul HTTP normal

==== Backend HTTP (ACME Challenge Forwarding) ====

Backend dedicat pentru Let’s Encrypt.
Acesta trebuie să trimită cererile către portul 80 al serverrelor ISPConfig.

<code class="mw-code mw-highlight plainlinks" style="display:block"> backend letsencrypt-backend
 mode http
 server isp1 192.168.14.11:80 check
 server isp2 192.168.14.22:80 check
 server isp3 192.168.14.33:80 check
</code>

==== Backend HTTP (trafic normal) ====

Backend-ul standard pentru HTTP (port 80), folosit pentru redirectări, panel ISPConfig, sau site-uri HTTP.

<code class="mw-code mw-highlight plainlinks" style="display:block"> backend ispconfig_http
 mode http
 balance roundrobin
 option httpchk GET /
 server isp1 192.168.14.11:80 check
 server isp2 192.168.14.22:80 check
 server isp3 192.168.14.33:80 check
</code>

=== Pagina de statistici HAProxy ===

<code class="mw-code mw-highlight plainlinks" style="display:block"> listen stats
 bind *:9000
 mode http
 stats enable
 stats uri /stats
 stats refresh 5s
 stats auth admin:pass123
</code>

* *bind :9000 – port dedicat pentru statistici.
* stats uri /stats – URL-ul paginii.
* stats auth – autentificare basic HTTP.

==== Accesare pagina de statistici ====
http://192.168.14.123:9000/stats

[[File:HAProxy stats.png|782x616px|none|HAProxy_stats]]

==== Ansible playbook pentru configurare ====

===== Fişiere necesare =====

{| class="responsive-three-cols"
|-
| class="col" style="vertical-align:middle; text-align:center; padding:15px;" |

[[File:Filethumb.png|thumb|right|link=Media:Inventory.ini|Descarcă fișierul de inventar si variabile]]

| class="col" style="vertical-align:middle; text-align:center; padding:15px;" |

[[File:Filethumb.png|thumb|right|link=Media:Haproxy.yaml|Descarcă fișierul de instalare și configurare iniţială]]

| class="col" style="vertical-align:middle; text-align:center; padding:15px;" |

[[File:Filethumb.png|thumb|right|link=Media:Haproxy-conf.yaml|Descarcă fișierul de actualizare a configurării]]

|}

===== Instalarea HAProxy si configurarea primului frontend şi backend =====

<code class="mw-code mw-highlight plainlinks" style="display:block"> # ansible-playbook -i /path/to/Inventory.ini /path/to/Haproxy.yaml
</code>

===== Confingurarea frontend şi backend pentru HAProxy =====

<code class="mw-code mw-highlight plainlinks" style="display:block"> # ansible-playbook -i /path/to/Inventory.ini /path/to/Haproxy-conf.yaml
</code>

== HAProxy cu SSL Passthrough și Mapări Dinamice Layer 7 ==
[[File:haproxyLayer7.png|782x616px|none|HAProxy Layer7]]

Acest scenariu avansat descrie configurarea HAProxy ca un "Router Layer 7 (Content-Based Switch)". Această arhitectură permite consolidarea mai multor domenii și subdomenii complet diferite pe un singur IP public extern, rutând traficul dinamic către mașini virtuale (backend-uri) separate, fără ca HAProxy să decripteze traficul SSL/TLS (SSL Passthrough).

=== Configurare Frontend ===

Fișierele sunt stocate modular în directorul inclus secundar (`conf.d/`).

<code class="mw-code mw-highlight plainlinks" style="display:block"> # nano /etc/haproxy/conf.d/websites.cfg
 
 # FRONTEND HTTP - Port 80 (Cu suport ACME Challenge integrat dinamic)
 
 frontend fe_http
 bind *:80
 mode http
 
 # Extrage stringul curat al domeniului (taie portul :80 trimis de unele browsere)
 http-request set-var(txn.backend) req.hdr(host),field(1,:),lower,map(/etc/haproxy/maps/web-http.map)
 
 # Detecție trafic ACME Challenge (Let's Encrypt / ISPConfig)
 acl is_acme path_beg /.well-known/acme-challenge/
 
 # Securitate: Blocare 403 dacă domeniul nu există în map ȘI nu este o cerere ACME
 http-request deny deny_status 403 if ! { var(txn.backend) -m found } !is_acme
 
 # Rutare: Trimite către backend-ul identificat în map
 use_backend %[var(txn.backend)] if { var(txn.backend) -m found }
 
 # Fallback obligatoriu pentru procesarea automată a certificatelor ACME generate în ISPConfig
 default_backend be_vm1_http
 
 # FRONTEND HTTPS - Port 443 (SSL Passthrough transparent pe bază de SNI)
 
 frontend fe_https
 bind *:443
 mode tcp
 
 # Inspectează pachetele inițiale TCP pentru a citi header-ul TLS nesecurizat
 tcp-request inspect-delay 5s
 tcp-request content accept if { req.ssl_hello_type 1 }
 
 # Rutare Layer 4 bazată pe SNI-ul extras din handshake-ul TLS potrivit în map-ul HTTPS
 use_backend %[req.ssl_sni,lower,map(/etc/haproxy/maps/web-https.map)]
 
 # Dacă domeniul accesat prin TLS nu există în map, conexiunea este respinsă direct
 default_backend be_https_deny
 
</code>

=== Configurare Backend ===

<code class="mw-code mw-highlight plainlinks" style="display:block"> # nano /etc/haproxy/maps/web-http.map
 # VM1 - 192.168.1.11
 domeniu.eu be_vm1_http
 sub.domeniu.eu be_vm1_http
 # VM2 - 192.168.1.22
 domeniu.com be_vm2_http
 sub.domeniu.com be_vm2_http
 # VM3 - 192.168.1.33
 domeniu.ro be_vm3_http
 sub.domeniu.ro be_vm3_http
</code>

==== Fișier Mapare HTTPS (Port 443) ====
<code class="mw-code mw-highlight plainlinks" style="display:block"> # nano /etc/haproxy/maps/web-https.map
 # VM1 - 192.168.1.11
 domeniu.eu be_vm1_https
 sub.domeniu.eu be_vm1_https
 # VM2 - 192.168.1.22
 domeniu.com be_vm2_https
 sub.domeniu.com be_vm2_https
 # VM3 - 192.168.1.33
 domeniu.ro be_vm3_https
 sub.domeniu.ro be_vm3_https
</code>

HAProxy

2026-10-22T10:45:26Z

Wikiadmin: /* Configurare Frontend */

== HAProxy - Load Balancing Standard (Grup Unic Backend) ==
[[File:HAProxy.png|782x616px|none|HAProxy]]
=== Instalare HAProxy ===
La instalare HAProxy activează serviciul systemd.
<code class="mw-code mw-highlight plainlinks" style="display:block"> # apt -y install haproxy
</code>

=== Structura fișierului de configurare ===

Fișierul principal:
<code class="mw-code mw-highlight plainlinks" style="display:block"> # nano /etc/haproxy/haproxy.cfg
</code>

Configurația este împărțită în:
* global – setări pentru procesul HAProxy
* defaults – setări implicite pentru toate secțiunile
* frontend – puncte de intrare pentru trafic
* backend – serverele către care se trimite traficul

==== Secțiunea global ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> global
 log /dev/log local0
 log /dev/log local1 notice
 maxconn 4096
 user haproxy
 group haproxy
 daemon
</code>

* log /dev/log local0 – trimite logurile către syslog.
* log /dev/log local1 notice – al doilea canal de log, nivel minim notice.
* maxconn 4096 – număr maxim de conexiuni simultane.
* user/group haproxy – rulează cu userul de sistem haproxy.
* daemon – rulează în background.

==== Secțiunea defaults ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> defaults
 log global
 mode http
 option httplog
 option dontlognull
 timeout connect 5s
 timeout client 30s
 timeout server 30s
</code>
* log global – folosește setările din secțiunea global.
* mode http – modul implicit pentru frontend/backend.*
* option httplog – loguri detaliate HTTP.
* option dontlognull – nu loghează conexiuni goale.
* timeout connect/client/server – limite de timp pentru conexiuni.
 * Dacă un frontend sau backend are propriul mode (ex: mode tcp), acesta suprascrie automat valoarea din defaults

==== Frontend HTTP (port 80) ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> frontend http_in
 bind *:80
 mode http
 option forwardfor
 default_backend http_webserver
</code>

* bind *:80 – ascultă pe portul 80.
* mode http – procesează header-ele HTTP.
* option forwardfor – adaugă X‑Forwarded‑For cu IP-ul real al clientului.
* default_backend http_webserver – trimite traficul către backend-ul HTTP.

==== Backend HTTP ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> backend http_webserver
 mode http
 balance leastconn
 option httpchk GET /
 server vm01 192.168.14.11:80 check
 server vm02 192.168.14.22:80 check
 server vm03 192.168.14.33:80 check
</code>

* mode http – backend-ul procesează HTTP.
* balance leastconn – trimite traficul către serverul cu cele mai puține conexiuni active.
* option httpchk GET / – health-check HTTP.
* server vm01/vm02/vm03 – cele trei VM.

=== HTTPS (port 443) cu SSL Termination în HAProxy ===

În această situaţie HAProxy gestionează certificatul.

==== Generare certificat Let’s Encrypt ====

Necesită port 80 public și domeniu valid. 
Certbot, în modul --standalone, pornește un mini‑webserver intern pe portul 80 pentru a răspunde la challenge-ul HTTP‑01 de la Let’s Encrypt. 
Dacă HAProxy este pornit, acesta ocupă portul 80 și Certbot nu poate porni serverul de validare, ceea ce duce la eșecul generării certificatului.

'''Instalare certbot'''

<code class="mw-code mw-highlight plainlinks" style="display:block"> apt -y install certbot
</code>

'''Oprire temporară HAProxy'''

<code class="mw-code mw-highlight plainlinks" style="display:block"> systemctl stop haproxy
</code>

'''Generare certificat'''

<code class="mw-code mw-highlight plainlinks" style="display:block"> certbot certonly --standalone -d wiki.stradivart.ro
</code>

'''Creare fișier PEM pentru HAProxy'''

<code class="mw-code mw-highlight plainlinks" style="display:block"> # mkdir -p /etc/haproxy/certs
 # cat /etc/letsencrypt/live/wiki.stradivart.ro/fullchain.pem \
 /etc/letsencrypt/live/wiki.stradivart.ro/privkey.pem \
 > /etc/haproxy/certs/wiki.stradivart.ro.pem
 # chmod 600 /etc/haproxy/certs/wiki.stradivart.ro.pem
</code>

==== Frontend HTTPS (SSL termination) ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> frontend https_in
 bind *:443 ssl crt /etc/haproxy/certs/wiki.stradivart.ro.pem
 mode http
 option forwardfor
 default_backend http_webserver
</code>
* *bind :443 ssl crt ... – HAProxy decriptează SSL.
* mode http – traficul devine HTTP după terminarea SSL.
* default_backend http_webserver – backend-ul HTTP unic.

==== Backend HTTPS (SSL termination) ====

În cazul SSL termination, backend-ul nu procesează trafic HTTPS. 
HAProxy decriptează SSL în frontend, iar backend-ul primește trafic HTTP normal (non‑SSL). 
De aceea backend-ul este identic cu backend-ul HTTP.

<code class="mw-code mw-highlight plainlinks" style="display:block"> backend http_webserver
 mode http
 balance leastconn
 option httpchk GET /
 server vm01 192.168.14.11:80 check
 server vm02 192.168.14.22:80 check
 server vm03 192.168.14.33:80 check
</code>

* mode http – backend-ul procesează HTTP.
* balance leastconn – trimite traficul către serverul cu cele mai puține conexiuni active.
* option httpchk GET / – health-check HTTP.
* server vm01/vm02/vm03 – cele trei VM.

=== HTTPS (port 443) cu SSL Passthrough ===

Webserver-ul gestionează certificatul. HAProxy doar forward-ează pachetele SSL.

==== Frontend HTTPS (SSL passthrough) ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> frontend https_in
 bind *:443
 mode tcp
 default_backend httpS_webserver
</code>

* *bind :443 – ascultă pe portul 443.
* mode tcp – HAProxy nu decriptează SSL.
* default_backend httpS_webserver – backend separat în modul TCP.

==== Backend HTTPS (SSL passthrough) ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> backend httpS_webserver
 mode tcp
 balance leastconn
 server vm01 192.168.14.11:443 check
 server vm02 192.168.14.22:443 check
 server vm03 192.168.14.33:443 check
</code>

* mode tcp – forward transparent al pachetelor SSL.
* balance leastconn – distribuție inteligentă.
* server vm01/vm02/vm03 – VM-urile ISPConfig.

=== Frontend HTTP (port 80) - ACME Challenge ===

Această secțiune descrie configurarea HAProxy pentru a permite generarea certificatelor Let’s Encrypt în ISPConfig atunci când HAProxy funcționează în modul SSL Passthrough.
Pentru validarea HTTP‑01, traficul către /.well-known/acme-challenge/ trebuie direcționat către backend-ul HTTP al ISPConfig.

==== Frontend HTTP (ACME Challenge Forwarding) ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> frontend http_in
 bind *:80
 mode http
 acl letsencrypt-acl path_beg /.well-known/acme-challenge/
 use_backend letsencrypt-backend if letsencrypt-acl
 default_backend ispconfig_http
</code>

* acl letsencrypt-acl path_beg - detectăm cererile ACME challenge
* use_backend - Forward ACME challenge către backend-ul dedicat
* default_backend - Restul traficului HTTP merge către backend-ul HTTP normal

==== Backend HTTP (ACME Challenge Forwarding) ====

Backend dedicat pentru Let’s Encrypt.
Acesta trebuie să trimită cererile către portul 80 al serverrelor ISPConfig.

<code class="mw-code mw-highlight plainlinks" style="display:block"> backend letsencrypt-backend
 mode http
 server isp1 192.168.14.11:80 check
 server isp2 192.168.14.22:80 check
 server isp3 192.168.14.33:80 check
</code>

==== Backend HTTP (trafic normal) ====

Backend-ul standard pentru HTTP (port 80), folosit pentru redirectări, panel ISPConfig, sau site-uri HTTP.

<code class="mw-code mw-highlight plainlinks" style="display:block"> backend ispconfig_http
 mode http
 balance roundrobin
 option httpchk GET /
 server isp1 192.168.14.11:80 check
 server isp2 192.168.14.22:80 check
 server isp3 192.168.14.33:80 check
</code>

=== Pagina de statistici HAProxy ===

<code class="mw-code mw-highlight plainlinks" style="display:block"> listen stats
 bind *:9000
 mode http
 stats enable
 stats uri /stats
 stats refresh 5s
 stats auth admin:pass123
</code>

* *bind :9000 – port dedicat pentru statistici.
* stats uri /stats – URL-ul paginii.
* stats auth – autentificare basic HTTP.

==== Accesare pagina de statistici ====
http://192.168.14.123:9000/stats

[[File:HAProxy stats.png|782x616px|none|HAProxy_stats]]

==== Ansible playbook pentru configurare ====

===== Fişiere necesare =====

{| class="responsive-three-cols"
|-
| class="col" style="vertical-align:middle; text-align:center; padding:15px;" |

[[File:Filethumb.png|thumb|right|link=Media:Inventory.ini|Descarcă fișierul de inventar si variabile]]

| class="col" style="vertical-align:middle; text-align:center; padding:15px;" |

[[File:Filethumb.png|thumb|right|link=Media:Haproxy.yaml|Descarcă fișierul de instalare și configurare iniţială]]

| class="col" style="vertical-align:middle; text-align:center; padding:15px;" |

[[File:Filethumb.png|thumb|right|link=Media:Haproxy-conf.yaml|Descarcă fișierul de actualizare a configurării]]

|}

===== Instalarea HAProxy si configurarea primului frontend şi backend =====

<code class="mw-code mw-highlight plainlinks" style="display:block"> # ansible-playbook -i /path/to/Inventory.ini /path/to/Haproxy.yaml
</code>

===== Confingurarea frontend şi backend pentru HAProxy =====

<code class="mw-code mw-highlight plainlinks" style="display:block"> # ansible-playbook -i /path/to/Inventory.ini /path/to/Haproxy-conf.yaml
</code>

== HAProxy cu SSL Passthrough și Mapări Dinamice Layer 7 ==
[[File:haproxyLayer7.png|782x616px|none|HAProxy Layer7]]

Acest scenariu avansat descrie configurarea HAProxy ca un "Router Layer 7 (Content-Based Switch)". Această arhitectură permite consolidarea mai multor domenii și subdomenii complet diferite pe un singur IP public extern, rutând traficul dinamic către mașini virtuale (backend-uri) separate, fără ca HAProxy să decripteze traficul SSL/TLS (SSL Passthrough).

=== Configurare Frontend ===

Fișierele sunt stocate modular în directorul inclus secundar (`conf.d/`).

<code class="mw-code mw-highlight plainlinks" style="display:block"> # nano /etc/haproxy/conf.d/websites.cfg
 
 # FRONTEND HTTP - Port 80 (Cu suport ACME Challenge integrat dinamic)
 
 frontend fe_http
 bind *:80
 mode http
 
 # Extrage stringul curat al domeniului (taie portul :80 trimis de unele browsere)
 http-request set-var(txn.backend) req.hdr(host),field(1,:),lower,map(/etc/haproxy/maps/web-http.map)
 
 # Detecție trafic ACME Challenge (Let's Encrypt / ISPConfig)
 acl is_acme path_beg /.well-known/acme-challenge/
 
 # Securitate: Blocare 403 dacă domeniul nu există în map ȘI nu este o cerere ACME
 http-request deny deny_status 403 if ! { var(txn.backend) -m found } !is_acme
 
 # Rutare: Trimite către backend-ul identificat în map
 use_backend %[var(txn.backend)] if { var(txn.backend) -m found }
 
 # Fallback obligatoriu pentru procesarea automată a certificatelor ACME generate în ISPConfig
 default_backend be_vm1_http
 
 # FRONTEND HTTPS - Port 443 (SSL Passthrough transparent pe bază de SNI)
 
 frontend fe_https
 bind *:443
 mode tcp
 
 # Inspectează pachetele inițiale TCP pentru a citi header-ul TLS nesecurizat
 tcp-request inspect-delay 5s
 tcp-request content accept if { req.ssl_hello_type 1 }
 
 # Rutare Layer 4 bazată pe SNI-ul extras din handshake-ul TLS potrivit în map-ul HTTPS
 use_backend %[req.ssl_sni,lower,map(/etc/haproxy/maps/web-https.map)]
 
 # Dacă domeniul accesat prin TLS nu există în map, conexiunea este respinsă direct
 default_backend be_https_deny
 
</code>

=== Configurare Backend ===

<code class="mw-code mw-highlight plainlinks" style="display:block"> # nano /etc/haproxy/maps/web-http.map
 # VM1 - 192.168.1.11
 domeniu.eu be_vm1_http
 sub.domeniu.eu be_vm1_http
 # VM2 - 192.168.1.22
 domeniu.com be_vm2_http
 sub.domeniu.com be_vm2_http
 # VM3 - 192.168.1.33
 domeniu.ro be_vm3_http
 sub.domeniu.ro be_vm3_http
</code>
</code>

==== Fișier Mapare HTTPS (Port 443) ====
<code class="mw-code mw-highlight plainlinks" style="display:block"> # nano /etc/haproxy/maps/web-https.map
 # VM1 - 192.168.1.11
 domeniu.eu be_vm1_https
 sub.domeniu.eu be_vm1_https
 # VM2 - 192.168.1.22
 domeniu.com be_vm2_https
 sub.domeniu.com be_vm2_https
 # VM3 - 192.168.1.33
 domeniu.ro be_vm3_https
 sub.domeniu.ro be_vm3_https
</code>

HAProxy

2026-10-22T10:41:28Z

Wikiadmin: /* Configurare Frontend */

HAProxy

2026-10-22T10:39:39Z

Wikiadmin: /* Configurare Frontend-uri și Backend-uri Modulare */

HAProxy

2026-10-22T10:34:07Z

Wikiadmin: /* HAProxy cu SSL Passthrough și Mapări Dinamice Layer 7 */

HAProxy

2026-10-22T10:30:55Z

Wikiadmin: /* Fișier Mapare HTTPS (Port 443) */

HAProxy

2026-10-22T10:30:45Z

Wikiadmin: /* Fișier Mapare HTTP (Port 80) */

HAProxy

2026-10-22T10:29:02Z

Wikiadmin: /* Fișier Mapare HTTP (Port 443) */

HAProxy

2026-10-22T10:28:46Z

Wikiadmin: /* Fișier Mapare HTTP (Port 80) */

HAProxy

2026-10-22T10:25:58Z

Wikiadmin: /* Structură Fișiere Mapare Dinamică */

HAProxy

2026-10-22T10:23:55Z

Wikiadmin: /* HAProxy cu SSL Passthrough și Mapări Dinamice Layer 7 */

HAProxy

2026-10-22T10:22:28Z

Wikiadmin: /* HAProxy cu SSL Passthrough și Mapări Dinamice Layer 7 */

HAProxy

2026-10-22T09:18:35Z

Wikiadmin: /* Fişiere necesare */

HAProxy

2026-10-22T09:17:34Z

Wikiadmin: /* Fişiere necesare */

HAProxy

2026-10-22T09:09:33Z

Wikiadmin: /* HAProxy cu SSL Passthrough și Mapări Dinamice Layer 7 */

File:HaproxyLayer7.png

2026-10-22T09:08:23Z

Wikiadmin:

HAProxy

2026-10-22T09:04:21Z

Wikiadmin: /* HAProxy cu SSL Passthrough și Mapări Dinamice Layer 7 */

HAProxy

2026-10-22T09:04:08Z

Wikiadmin: /* HAProxy cu SSL Passthrough și Mapări Dinamice Layer 7 */

HAProxy

2026-10-22T09:02:38Z

Wikiadmin:

HAProxy

2026-10-22T09:00:00Z

Wikiadmin:

Raspberry Pi NTP Server

2026-10-20T23:07:23Z

Wikiadmin:

== Configurarea Raspberry Pi ca server NTP folosint NEO-7M ==
Un server NTP asigura sincronizarea corecta a orei pentru toate dispozitivele dintr-o retea, prevenind erori în loguri, autentificari sau servicii care depind de timp precis. Folosind un modul GPS cu PPS, un Raspberry Pi poate deveni o sursa Stratum‑1 foarte stabila și independenta de internet. Acest proiect prezinta configurarea unui astfel de server NTP simplu și fiabil pentru uz local.

=== Componente folosite ===
Pentru realizarea acestui server NTP stratum 1 am folosit componente simple, accesibile si usor de integrat. Lista de mai jos include toate elementele hardware necesare pentru configuratie.
* Raspberry Pi 1 Model B - 180 RON (pret din 2012)
* Modul GPS u-blox NEO-7M - 49,07 RON
* Antena GPS ~28 dB gain - 67 RON
* Fire jumper female–female - 5,79 RON
* Card SD 16 GB - aprox 30 RON
<nowiki>*</nowiki>preturi valabile in decembrie 2025

=== Configurare UART și activare PPS ===
Pe Raspberry Pi, consola seriala este activa implicit, ceea ce blocheaza utilizarea interfetei UART pentru modulul GPS. Pentru a putea folosi portul serial și semnalul PPS, este necesara dezactivarea consolei și activarea manuala a suportului UART și PPS.

==== Dezactivarea consolei seriale ====
Pentru dezactivarea consolei seriale editam fisierul /boot/firmware/cmdline.txt de unde stergem segmentul care contine consola, de obicei ceva de forma:

<code class="mw-code mw-highlight plainlinks" style="display:block"> console=serial0,115200
</code>

Lasam restul liniei pe un singur rand, exact cum era.

==== Verificarea activarii UART ====
Editam fisierul /boot/firmware/config.txt unde ne asiguram ca exista:

<code class="mw-code mw-highlight plainlinks" style="display:block"> [all]
 enable_uart=1
</code>

==== Activarea modulului PPST ====
Incarcam modulul PPS executand:

<code class="mw-code mw-highlight plainlinks" style="display:block"> echo 'pps-gpio' >> /etc/modules
</code>

Pentru configurarea pinului PPS (GPIO 18) editam din nou fisierul /boot/firmware/config.txt iar in partea de jos adaugam:

<code class="mw-code mw-highlight plainlinks" style="display:block"> dtoverlay=pps-gpio,gpiopin=18
</code>

Aceasta indica kernelului ca semnalul PPS este conectat la GPIO 18.

Dupa ce efectuam aceste modificari, oprim systemul in vederea conectarii modului de GPS.

=== Conectarea modului GPS ===
Dupa dezactivarea consolei seriale și activarea suportului PPS, interfața UART a Raspberry Pi devine libera pentru comunicarea cu modulul GPS. Conectarea se face direct pe pinii GPIO, folosind alimentarea de 5V, masa comuna și liniile de date RX/TX, plus semnalul PPS.

==== Schema de conectare ====

[[File:GPIOtoGPS.jpg|800px|none|Schema conactare]]

* Conectam pinul de 5V al Raspberry Pi la pinul de alimentare al modulului GPS.
* Conectam GND la masa modulului GPS.
* Conectam TX0 de pe Raspberry Pi la RX al modulului GPS (Pi transmite → GPS primește).
* Conectam RX0 de pe Raspberry Pi la TX al modulului GPS (GPS transmite → Pi primește).
* Conectam GPIO 18 la pinul PPS al modulului GPS, conform configurarii din config.txt

=== Test pentru UART si PPS ===
Dupa conectarea modulului GPS si configurarea UART/PPS, putem verifica functionarea celor doua interfete direct din sistem.

==== Test UART (NMEA) ====
Pentru a verifica daca modulul GPS transmite date NMEA prin UART:

<code class="mw-code mw-highlight plainlinks" style="display:block"> # cat /dev/serial0
 $GNRMC,140221.00,A,4423.43286,N,02605.77991,E,0.096,,250226,,,A,V*14
 $GNVTG,,T,,M,0.096,N,0.178,K,A*3C
 $GNGGA,140221.00,4423.43286,N,02605.77991,E,1,10,2.11,105.1,M,34.9,M,,*44
 $GNGSA,A,3,10,23,15,29,16,26,27,18,,,,,3.30,2.11,2.54,1*00
 $GNGSA,A,3,02,25,,,,,,,,,,,3.30,2.11,2.54,3*07
 .............
</code>

Acest rezultat confirma faptul ca Pi-ul primeste date GPS de la modul
Daca totul este configurat corect, ar trebui sa apara siruri NMEA. In cazul in care nu apare asemenator mai sus, verificati conexiunile RX/TX si setarile UART.

==== Instalare unelte PPS si testare ====
Pentru testarea semnalului PPS, instalati pachetul necesar:

* apt install pps-tools

Dupa instalare, verificam semnalul PPS:

<code class="mw-code mw-highlight plainlinks" style="display:block"> # ppstest /dev/pps0
 trying PPS source "/dev/pps0"
 found PPS source "/dev/pps0"
 ok, found 1 source(s), now start fetching data...
 source 0 - assert 1769914968.660167945, sequence: 330 - clear 0.000000000, sequence: 0
 source 0 - assert 1769914969.660165119, sequence: 331 - clear 0.000000000, sequence: 0
 source 0 - assert 1769914970.660164293, sequence: 332 - clear 0.000000000, sequence: 0
</code>

Un rezultat corect va afisa impulsuri detectate la fiecare secunda.

=== Configurare gpsd ===
Instalam pachetele necesare pentru gestionarea modulului GPS:
* apt install gpsd gpsd-clients

==== Startup config pentru gpsd ====
Editam fisierul de configurare gpsd:

<code class="mw-code mw-highlight plainlinks" style="display:block"> # nano /etc/default/gpsd
 
 START_DAEMON="true"
 DEVICES="/dev/serial0 /dev/pps"
 GPSD_OPTIONS="-n"
 USBAUTO="false"
 GPSD_SOCKET="/var/run/gpsd.sock"
</code>

* START_DAEMON -> Porneste automat serviciul gpsd la boot. Daca este "false", gpsd nu se lanseaza singur.
* DEVICES -> Aceasta linie indica gpsd sa deschida doua dispozitive simultan
** /dev/serial0 → fluxul NMEA provenit de pe UART (datele GPS clasice: GGA, RMC, sateliti etc.)
** /dev/pps → semnalul PPS hardware folosit pentru sincronizare precisa la nivel de secunda
* GPSD_OPTIONS -> Porneste gpsd chiar daca nu exista clienti conectati. Fara "-n", gpsd asteapta un client inainte sa initializeze modulul GPS.
* USBAUTO -> Dezactiveaza detectarea automata a dispozitivelor GPS USB; necesar cand folosim un modul pe UART.
* GPSD_SOCKET -> Definește socket-ul UNIX prin care aplicatiile (cgps, chrony etc.) comunica cu gpsd.

Repornim serviciul executand:
* service gpsd restart

==== Testare gpsd ====
Testam functionarea modulului GPS:

<code class="mw-code mw-highlight plainlinks" style="display:block"> # cgps -s
 lqqqqqqqqqqqqqqqqqqqqqqqqqqqqqqqqqqqqqqqqqqqklqqqqqqqqqqqqqqqqSeen 21/Used 14qqk
 x Time 2026-02-25T14:06:01.000Z (18)xxGNSS S PRN Elev Azim SNR Usex
 x Latitude 44.43550340 N xxGP 10 10 28.0 182.0 43.0 Y x
 x Longitude 26.10252040 E xxGP 15 15 16.0 80.0 46.0 Y x
 x Alt (HAE, MSL) 128.736, 93.872 m xxGP 18 18 67.0 45.0 32.0 Y x
 x Speed 0.02 km/h xxGP 23 23 57.0 144.0 37.0 Y x
 x Track (true, var) 166.0, 5.8 deg xxGP 26 26 52.0 222.0 23.0 Y x
 x Climb 1.92 m/min xxGP 27 27 30.0 299.0 27.0 Y x
 x Status 3D DGPS FIX (9 secs) xxGP 29 29 22.0 105.0 38.0 Y x
 x Long Err (XDOP, EPX) 0.56, +/- 2.2 m xxSB127 40 31.0 142.0 35.0 Y x
 x Lat Err (YDOP, EPY) 0.64, +/- 2.4 m xxSB128 41 15.0 114.0 31.0 Y x
 x Alt Err (VDOP, EPV) 1.28, +/- 4.5 m xxGA 2 302 65.0 200.0 36.0 Y x
 x 2D Err (HDOP, CEP) 0.85, +/- 3.4 m xxGA 25 325 19.0 157.0 34.0 Y x
 x 3D Err (PDOP, SEP) 1.54, +/- 7.4 m xxGA 30 330 44.0 304.0 22.0 Y x
 x Time Err (TDOP) 0.90 xxGA 34 334 49.0 242.0 25.0 Y x
 x Geo Err (GDOP) 1.79 xxGA 36 336 74.0 38.0 29.0 Y x
 x Speed Err (EPS) +/- 17.5 km/h xxGP 5 5 5.0 34.0 0.0 N x
 x Track Err (EPD) n/a xxGP 16 16 55.0 285.0 0.0 N x
 x Time offset -2113301 s xxGP 20 20 9.0 57.0 25.0 uN x
 x Grid Square KN34bj13 xxSB123 36 39.0 184.0 40.0 N x
 x ECEF X, VX 4099907.290 m 0.020 m/sxxSB126 39 27.0 132.0 0.0 N x
 x ECEF Y, VY 2008197.370 m 0.010 m/sxxSB136 49 35.0 209.0 0.0 N x
 x ECEF Z, VZ 4439297.500 m 0.020 m/sxxGA 6 306 4.0 81.0 37.0 N x
 mqqqqqqqqqqqqqqqqqqqqqqqqqqqqqqqqqqqqqqqqqqqjmqqqqqqqqqqqqqqqqqqqqqqqqqqqqqqqqqj
</code>

Din coloana situata in partea dreapta observam ca sistemul nostru se conecteaza la:
* GP - GPS (Global Positioning System) este un sistem global de navigatie prin satelit dezvoltat de Statele Unite.
* GA - Galileo este sistemul european de navigatie prin satelit (GNSS), dezvoltat de Uniunea Europeana.
* SB - SBAS (Satellite-Based Augmentation System) este un sistem care imbunatateste precizia si fiabilitatea pozitionarii GNSS (GPS, Galileo etc.)
Alte sisteme de GNSS care nu sunt prezente in conexiunea nostra ar pute fi:
* GL - GLONASS este sistemul de navigatie prin satelit al Federatiei Ruse
* BD - BeiDou este sistemul de navigatie prin satelit al Chinei

=== Configurarea serverului NTP ===
Acest server foloseste un modul GPS cu suport PPS pentru a furniza timp de inalta precizie, transformand sistemul intr-o sursa NTP stratum 1. In pasii urmatori configuram Chrony astfel incat sa foloseasca exclusiv GPS si PPS ca referinte de timp.

==== Instalare Chrony ====
Inainte de instalare ne asiguram ca sistemul foloseste un singur serviciu NTP (Chrony va deveni sursa principala).
* apt install chrony

==== Verificarea surselor NTP initiale ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> # chronyc sources
 MS Name/IP address Stratum Poll Reach LastRx Last sample
 ===============================================================================
 ^* time.cloudflare.com 3 6 7 0 +3337us[ -12.3s] +/- 26ms
 ^+ 31.25.10.207 3 6 7 0 -3833us[ -12.3s] +/- 93ms
 ^- 92-180-26-89.orangero.net 3 6 7 1 -2427us[ -12.3s] +/- 98ms
 ^+ ntp0.chroot.ro 2 6 7 1 -2785us[ -12.3s] +/- 52ms
 # chronyc tracking
 Reference ID : A29FC87B (time.cloudflare.com)
 Stratum : 4
 Ref time (UTC) : Wed Feb 25 14:12:12 2026
 System time : 0.000358473 seconds fast of NTP time
 Last offset : +0.000938197 seconds
 RMS offset : 0.000938197 seconds
 Frequency : 21.559 ppm fast
 Residual freq : -96.777 ppm
 Skew : 0.076 ppm
 Root delay : 0.052518558 seconds
 Root dispersion : 0.001089336 seconds
 Update interval : 1.7 seconds
 Leap status : Normal
</code>

chronyc sources afiseaza sursele NTP publice pe care sistemul le foloseste implicit, inainte de configurarea GPS‑ului.
chronyc tracking arata ca sistemul functioneaza momentan ca stratum 3, fiind doar un client NTP obisnuit.

==== Editare configuratie Chrony ====
In aceasta etapa eliminam sursele NTP publice si configuram Chrony sa foloseasca exclusiv GPS (NMEA) si PPS ca referinte de timp. Ajustam parametrii de corectie initiala si stabilim PPS ca sursa principala, astfel incat serverul sa poata functiona ca stratum 1. Rezultatul final este un server NTP autonom, sincronizat direct din semnal GPS cu precizie sub‑microsecunda.

<code class="mw-code mw-highlight plainlinks" style="display:block"> # nano /etc/chrony/chrony.conf
 
 #pool 2.debian.pool.ntp.org iburst
 makestep 0.1 -1
 initstepslew 1.0 GPS
 
 # GPS serial time (NMEA)
 refclock SHM 0 delay 0.2 refid GPS poll 4 noselect
 
 # PPS precise time
 refclock PPS /dev/pps0 refid PPS lock GPS poll 4 prefer
</code>

*2.debian.pool.ntp.org este serverul NTP public folosit initial de catre chrony
*makestep permite corectii mari de timp atunci cand diferenta este prea mare pentru slew. Modificam din initialul "makestep 1.0 3" pentru a permite corectii oricand, cu limita mai mica.
*initstepslew corecteaza timpul la boot daca diferenta fata de GPS este mai mare de 1 secunda.

===== refclock SHM (NMEA) =====
NMEA este fluxul de timp citit din GPS prin gpsd și expus către Chrony printr-un segment SHM (shared memory). Acest semnal conține ora completă, dar are o întârziere naturală de aproximativ 200 ms și o precizie relativ slabă. Îl folosim cu noselect pentru că nu vrem ca NMEA să fie sursa principală de timp; rolul lui este doar să ofere context temporal pentru PPS, astfel încât impulsul PPS să poată fi „legat” corect de ora GPS.

===== refclock PPS =====
PPS este semnalul hardware de precizie foarte mare (sub‑microsecundă), generat o dată pe secundă de modulul GPS. Spre deosebire de NMEA, PPS nu conține ora, ci doar impulsul exact, motiv pentru care îl „blocăm” pe GPS (lock GPS) pentru a-i oferi contextul temporal. Îl marcăm ca prefer deoarece PPS trebuie să fie sursa principală de sincronizare, fiind cea mai precisă referință disponibilă.

Dupa salvarea noii configuratii restartam chrony
* service chrony restart

==== Verificarea surselor NTP adaugate ====

<code class="mw-code mw-highlight plainlinks" style="display:block"> # chronyc sources
 MS Name/IP address Stratum Poll Reach LastRx Last sample
 ===============================================================================
 #? GPS 0 4 377 12 +289ms[ +289ms] +/- 129ms
 #* PPS 0 4 363 12 -13us[ -13us] +/- 57ms
 # chronyc tracking
 Reference ID : 50505300 (PPS)
 Stratum : 1
 Ref time (UTC) : Wed Feb 25 14:21:25 2026
 System time : 0.000000158 seconds slow of NTP time
 Last offset : -0.000000000 seconds
 RMS offset : 0.000000006 seconds
 Frequency : 21.246 ppm fast
 Residual freq : -0.000 ppm
 Skew : 0.159 ppm
 Root delay : 0.000000001 seconds
 Root dispersion : 0.000071716 seconds
 Update interval : 16.0 seconds
 Leap status : Normal
</code>

Dupa aplicarea configuratiei, Chrony incepe sa renunte la sursele NTP publice si sa foloseasca exclusiv GPS si PPS. In primele secunde, chronyc sources poate arata doar GPS, iar PPS apare abia dupa ce semnalul devine stabil. Pe masura ce PPS este validat si blocat pe GPS, chronyc tracking trece automat de la stratum 3 la stratum 1, confirmand ca serverul functioneaza acum ca o sursa autonoma de timp de inalta precizie.

==== Configurarea serverului pentru acces LAN ====

După ce serverul NTP funcționează corect pe GPS + PPS și a devenit stratum 1, următorul pas este să îl facem disponibil în rețeaua locală. Practic, permitem dispozitivelor din LAN să folosească acest server ca sursă principală de timp. Chrony nu răspunde implicit către rețea, așa că trebuie să activăm explicit accesul pentru subnetul nostru.

<code class="mw-code mw-highlight plainlinks" style="display:block"> # nano /etc/chrony/chrony.conf
 
 allow 192.168.1.0/24
</code>

După restart, Chrony ascultă pe toate interfețele pentru UDP 123, fiind gata să răspundă clienților din LAN.

<code class="mw-code mw-highlight plainlinks" style="display:block"> # netstat -tulnp
 Active Internet connections (only servers)
 Proto Recv-Q Send-Q Local Address Foreign Address State PID/Program name
 ..........
 udp 0 0 0.0.0.0:123 0.0.0.0:* 848/chronyd
 ..........
</code>

Cu aceste setari, configurarea serverului NTP este completa. Sistemul functioneaza acum ca un server stratum 1 bazat pe GPS + PPS, stabil, autonom si gata sa ofere timp precis intregii retele. Practic, in acest punct serverul este complet operational si pregatit sa serveasca LAN‑ul

== Configurarea clientului NTP Ubuntu ==
Clientul NTP din retea va folosi serverul nostru stratum 1 ca sursa principala de timp. Pe Ubuntu, Chrony este usor de configurat si poate inlocui rapid pool‑urile implicite cu serverul nostru local.

==== Instalare Chrony ====
Instalam Chrony pe client pentru a putea sincroniza timpul cu serverul NTP din LAN.

<code class="mw-code mw-highlight plainlinks" style="display:block"> # apt install chrony
</code>

==== Verificare stare initiala ====
Inainte de modificari, clientul foloseste pool‑urile Ubuntu.

<code class="mw-code mw-highlight plainlinks" style="display:block"> # chronyc sources
 MS Name/IP address Stratum Poll Reach LastRx Last sample
 ===============================================================================
 ^- alphyn.canonical.com 2 6 17 34 -4699us[-4699us] +/- 75ms
 ^+ prod-ntp-5.ntp4.ps5.cano> 2 6 17 35 -5344us[-3553us] +/- 25ms
 ^* prod-ntp-4.ntp4.ps5.cano> 2 6 17 34 -4327us[-2535us] +/- 22ms
 ^- prod-ntp-3.ntp4.ps5.cano> 2 6 35 32 -5388us[-5388us] +/- 23ms
 ^+ ntp7.kernfusion.at 2 6 17 34 +8539us[ +10ms] +/- 37ms
 ^+ time.cloudflare.com 3 6 17 35 +1563us[+3354us] +/- 27ms
 ^- time.cloudflare.com 3 6 17 34 +822us[ +822us] +/- 28ms
 ^+ ntp7.kernfusion.at 2 6 17 35 +6762us[+8554us] +/- 38ms
 # chronyc tracking
 Reference ID : B97DBE39 (prod-ntp-4.ntp1.ps5.canonical.com)
 Stratum : 3
 Ref time (UTC) : Wed Feb 25 14:39:49 2026
 System time : 0.000061887 seconds slow of NTP time
 Last offset : +0.001791766 seconds
 RMS offset : 0.001791766 seconds
 Frequency : 18.468 ppm fast
 Residual freq : -0.238 ppm
 Skew : 0.038 ppm
 Root delay : 0.043355867 seconds
 Root dispersion : 0.000964885 seconds
 Update interval : 1.4 seconds
 Leap status : Normal
</code>
==== Editare configuratie Chrony ====
Pentru ca acest client sa foloseasca serverul nostru NTP din LAN, trebuie sa inlocuim pool‑urile implicite Ubuntu cu adresa serverului local. Configuratia este simpla: comentam sursa initiala si adaugam serverul nostru stratum 1.

<code class="mw-code mw-highlight plainlinks" style="display:block"> # nano /etc/chrony/chrony.conf
 
 #pool ntp.ubuntu.com iburst maxsources 4
 #pool 0.ubuntu.pool.ntp.org iburst maxsources 1
 #pool 1.ubuntu.pool.ntp.org iburst maxsources 1
 #pool 2.ubuntu.pool.ntp.org iburst maxsources 2
 
 server 192.168.1.23 iburst
</code>

Restartam chrony pentru aplicarea noilor configuratii
* service chrony restart

==== Urmarirea sincronizarii ====
Dupa restart, clientul nu se sincronizeaza instant; are nevoie de cateva interogari pentru a valida sursa si a stabili offset‑ul. Folosim watch pentru a vedea in timp real cum trece de la starea initiala, nesincronizata, la sincronizarea completa cu serverul nostru.

<code class="mw-code mw-highlight plainlinks" style="display:block"> # watch -n1 "chronyc sources; echo; chronyc tracking"
 
 MS Name/IP address Stratum Poll Reach LastRx Last sample
 ===============================================================================
 ^* 192.168.1.23 1 6 17 9 +7517ns[ +21us] +/- 801us
 
 Reference ID : C0A80117 (192.168.1.23)
 Stratum : 2
 Ref time (UTC) : Wed Feb 25 14:44:20 2026
 System time : 0.000000002 seconds slow of NTP time
 Last offset : +0.000013356 seconds
 RMS offset : 0.000013356 seconds
 Frequency : 18.468 ppm fast
 Residual freq : -3.156 ppm
 Skew : 0.063 ppm
 Root delay : 0.000740285 seconds
 Root dispersion : 0.000509834 seconds
 Update interval : 2.0 seconds
 Leap status : Normal
</code>

În aceasta faza, clientul vede serverul, dar inca nu il foloseste ca sursa activa.
Asteptam in acest ecran pana cand apare sincronizarea completa — se vede clar momentul in care clientul „prinde” serverul nostru.

<code class="mw-code mw-highlight plainlinks" style="display:block"> # watch -n1 "chronyc sources; echo; chronyc tracking"
 
 MS Name/IP address Stratum Poll Reach LastRx Last sample
 ===============================================================================
 ^* 192.168.1.23 1 6 17 41 +7517ns[ +21us] +/- 801us
 
 Reference ID : C0A80117 (192.168.1.23)
 Stratum : 2
 Ref time (UTC) : Wed Feb 25 14:44:20 2026
 System time : 0.000000002 seconds slow of NTP time
 Last offset : +0.000013356 seconds
 RMS offset : 0.000013356 seconds
 Frequency : 18.468 ppm fast
 Residual freq : -3.156 ppm
 Skew : 0.063 ppm
 Root delay : 0.000740285 seconds
 Root dispersion : 0.000645164 seconds
 Update interval : 2.0 seconds
 Leap status : Normal
</code>

Acum chronyc sources arata serverul stratum 1 ca sursa selectata, iar chronyc tracking confirma ca acest client a devenit stratum 2.

== Concluzii ==
Pentru aceasta constructie am folosit un Raspberry Pi 1 deoarece ofera un consum de energie extrem de redus, zgomot electric minim si un mediu stabil, cu un singur nucleu. Aceste caracteristici il fac surprinzator de potrivit pentru sarcini de sincronizare a timpului, chiar daca modelele mai noi de Raspberry Pi ofera mai multa putere de procesare.

Configuratia poate fi imbunatatita prin utilizarea unui Raspberry Pi echipat cu un HAT pentru SSD. Înlocuirea cardului micro‑SD elimina degradarea mediului de stocare si asigura o performanta mai constanta pe termen lung.

Precizia poate fi imbunatatita si prin trecerea de la modulul NEO‑7M la un receptor dedicat pentru aplicatii de timing. Modulele din seria T sunt proiectate special pentru sincronizare si ofera un semnal PPS mai curat si mai stabil.

Merita mentionat si faptul ca unele echipamente comerciale NTP sunt construite chiar pe hardware Raspberry Pi. Acest lucru face comparatia noastra si mai relevanta, deoarece platforma de baza este similara, iar diferentele de performanta provin in principal din alegerea componentelor si optimizarea firmware‑ului, nu din arhitecturi fundamental diferite.

În comparatia cu echipamentele comerciale NTP, rezultatele au fost foarte apropiate. Unitatile dedicate au mentinut un jitter in jur de 0,2 milisecunde, in timp ce sistemul nostru a avut o medie intre 0,4 si 0,6 milisecunde — valori care se incadreaza confortabil in limitele acceptabile pentru sincronizare.

Și rezultatele privind capacitatea de procesare au fost similare. Echipamentele comerciale au gestionat aproximativ 20 pâna la 30 de mii de cereri NTP pe minut, in timp ce sistemul nostru a sustinut intre 15 si 18 mii, demonstrând ca o solutie cu cost redus poate atinge performante apropiate de cele ale unui appliance dedicat.

Per ansamblu, acest proiect arata ca, prin alegeri hardware bine gândite si o configurare corecta, un sistem compact si accesibil poate oferi o acuratete a timpului foarte apropiata de cea a echipamentelor NTP profesionale.

Combinatia dintre Chrony si PPS bazat pe GNSS ofera o sursa de timp stabila si predictibila, potrivita pentru o gama larga de aplicatii.
Cu imbunatatiri incrementale, aceasta platforma poate fi rafinata si mai mult si adaptata unor medii de sincronizare mai pretentioase.

== Building a GPS based Raspberry Pi NTP Server (NEO‑7M + PPS) ==
{{#ev:youtube|eqImO90rM4o}}